RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum20.01.2023 GeschäftszahlW274 2239587-1 Spruch, W274 2239587-1/13E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch den R

Art. 9Abs.

1 DSGVO dadurch verletzt hat, dass sie die Blutbefunde des Beschwerdeführers aufgrund der Anforderungen von Dr. XXXX vom 26.08.2019 in der aufgrund der Nachforderung vom 01.07.2019 ergänzten Fassung am 02.07.2019 an die (nicht mehr aktuelle) Adresse XXXX , übermittelt hat“.„Der Beschwerde wird stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin römisch 40 den Beschwerdeführer römisch 40 im Recht auf Geheimhaltung im Bezug auf sensible Daten

Artikel 9

, Absatz eins, DSGVO dadurch verletzt hat, dass sie die Blutbefunde des Beschwerdeführers aufgrund der Anforderungen von Dr. römisch 40 vom 26.08.2019 in der aufgrund der Nachforderung vom 01.07.2019 ergänzten Fassung am 02.07.2019 an die (nicht mehr aktuelle) Adresse römisch 40 , übermittelt hat“. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: 1.

1. Mit „Anzeige der Verletzung besonders geschützter Daten (Gesundheitsdaten)“ vom 01.10.2019 wandte sich XXXX (im Folgenden: Mitbeteiligter, MB) an die Datenschutzbehörde (m Folgenden: belangte Behörde) und zeigte folgenden Sachverhalt an: 1.
2. Mit „Anzeige der Verletzung besonders geschützter Daten (Gesundheitsdaten)“ vom 01.10.2019 wandte sich römisch 40 (im Folgenden: Mitbeteiligter, MB) an die Datenschutzbehörde (m Folgenden: belangte Behörde) und zeigte folgenden Sachverhalt an: Am 26.06.2019 sei beim MB eine Blutabnahme zur Erstellung eines kompletten Blutbildes zur Vorlage an seine Lebensversicherung erfolgt. Von Seiten der durchführenden Ärztin, Dr. XXXX , sei die Blutprobe mit dem Hinweis übersandt worden, dass die Rechnung an den Patienten erbeten werde und der Befund an die Ordination zu senden sei. Ausschließlich bei der später veranlasstem Titerkontrolle für Hepatitis A und B habe sich der Vermerk „Befund und Rechnung an Patient“ befunden. Hinsichtlich des ebenfalls erforderlichen HIV Befundes sei am 01.07.2019 telefonisch eine Nachforderung erfolgt. Am 26.06.2019 sei beim MB eine Blutabnahme zur Erstellung eines kompletten Blutbildes zur Vorlage an seine Lebensversicherung erfolgt. Von Seiten der durchführenden Ärztin, Dr. römisch 40 , sei die Blutprobe mit dem Hinweis übersandt worden, dass die Rechnung an den Patienten erbeten werde und der Befund an die Ordination zu senden sei. Ausschließlich bei der später veranlasstem Titerkontrolle für Hepatitis A und B habe sich der Vermerk „Befund und Rechnung an Patient“ befunden. Hinsichtlich des ebenfalls erforderlichen HIV Befundes sei am 01.07.2019 telefonisch eine Nachforderung erfolgt. Am Vormittag des 01.07.2019 habe der MB telefonisch Kontakt mit der Gruppenpraxis XXXX (im Folgenden: Beschwerdeführerin, BF) aufgenommen und mitgeteilt, dass sich seine Zustelladresse geändert habe. Die auf der Überweisung angegebene Adresse XXXX , existiere seit zehn Jahren nicht mehr. Dies sei mit der Auskunft entgegengenommen worden, dass der Anruf rechtzeitig erfolgt sei, weil bereits im Postaufgabeausgang ein Brief (der MB sei von der Honorarnote ausgegangen) für ihn liege. Am Vormittag des 01.07.2019 habe der MB telefonisch Kontakt mit der Gruppenpraxis römisch 40 (im Folgenden: Beschwerdeführerin, BF) aufgenommen und mitgeteilt, dass sich seine Zustelladresse geändert habe. Die auf der Überweisung angegebene Adresse römisch 40 , existiere seit zehn Jahren nicht mehr. Dies sei mit der Auskunft entgegengenommen worden, dass der Anruf rechtzeitig erfolgt sei, weil bereits im Postaufgabeausgang ein Brief (der MB sei von der Honorarnote ausgegangen) für ihn liege. In weiterer Folge seien sodann die Rechnungen für die Befunderstellung an die einzig gültige Adresse des MB, XXXX , übermittelt worden. Am 23.08.2019 sei der MB von einer Bewohnerin der XXXX , verständigt worden, dass seine Blutbefunde - das Kuvert sei geöffnet worden - in die K XXXX , übermittelt worden seien. Zu diesem Zeitpunkt sei dem MB nicht bekannt gewesen, dass an diese Adresse überhaupt eine Befundübermittlung - mit für die Öffentlichkeit heiklen Parametern - erfolgt sei. Der MB habe seine Befunde in Kopie von seiner Ärztin erhalten. In weiterer Folge seien sodann die Rechnungen für die Befunderstellung an die einzig gültige Adresse des MB, römisch 40 , übermittelt worden. Am 23.08.2019 sei der MB von einer Bewohnerin der römisch 40 , verständigt worden, dass seine Blutbefunde - das Kuvert sei geöffnet worden - in die K römisch 40 , übermittelt worden seien. Zu diesem Zeitpunkt sei dem MB nicht bekannt gewesen, dass an diese Adresse überhaupt eine Befundübermittlung - mit für die Öffentlichkeit heiklen Parametern - erfolgt sei. Der MB habe seine Befunde in Kopie von seiner Ärztin erhalten. Am. 26.08.2019 um 11:30 Uhr habe der MB eine entsprechende Anfrage an die BF übermittelt, die unbeantwortet geblieben sei. Am 29.08.2019 habe er dorthin eine Urgenz übermittelt. Erst am
3. August 1019 habe er eine nichtssagende Antwort des Datenschutzbeauftragten erhalten, auf die eine entsprechende Reaktion seinerseits erfolgt sei. Am 02.09.2019 sei es zu einem längeren Erklärungsmail von Univ. Professor Dr. XXXX gekommen, aus dem der MB zum ersten Mal habe entnehmen können, dass sämtliche Befunde, also auch sein HIV Befund, trotz des zu diesem Zeitpunkt bereits bekannten Vorliegens einer neuen Adresse, an eine nicht mehr existierende Adresse übersandt worden seien. Am. 26.08.2019 um 11:30 Uhr habe der MB eine entsprechende Anfrage an die BF übermittelt, die unbeantwortet geblieben sei. Am 29.08.2019 habe er dorthin eine Urgenz übermittelt. Erst am
4. August 1019 habe er eine nichtssagende Antwort des Datenschutzbeauftragten erhalten, auf die eine entsprechende Reaktion seinerseits erfolgt sei. Am 02.09.2019 sei es zu einem längeren Erklärungsmail von Univ. Professor Dr. römisch 40 gekommen, aus dem der MB zum ersten Mal habe entnehmen können, dass sämtliche Befunde, also auch sein HIV Befund, trotz des zu diesem Zeitpunkt bereits bekannten Vorliegens einer neuen Adresse, an eine nicht mehr existierende Adresse übersandt worden seien. Aufgrund der Offenbarung der Gesundheitsdaten des MB sei bei diesem nach Bekanntwerden des Datenbruches eine Belastungsstörung aufgetreten, die eine Behandlung von zwei Wochen in Anspruch genommen habe. Es sei ein messbarer Schaden entstanden (Verdienstentgang sowie Schmerzensgeld). Ein Verstoß gegen die DSGVO liege in der Übersendung der Daten an eine nicht verifizierte und mit dem MB nicht abgesprochenen Adresse, in der Übersendung sensitiver Daten an eine alte Adresse, obwohl bereits die neue Adresse bekannt gewesen sei, keine Verständigung des MB, obwohl bereits am 01.07.2019 das belangte Unternehmens von der Datenschutzverletzung Kenntnis gehabt habe, unvertretbar lange Reaktionsdauer bis zur Offenlegung des Sachverhalts sowie keine Mitteilung der Daten der Haftpflichtversicherung. Es werde Anzeige wegen des Verdachts des Verstoßes gegen die DSGVO beantragt. 1.
5. Nach einem Mangelbehebungsauftrag hinsichtlich Bezeichnung des als verletzt erachteten Rechts sowie des Begehrens, die behauptete Rechtsverletzung festzustellen, erfolgte am 29.10.2019 eine Beschwerdeergänzung, wonach eine Verletzung des Rechts auf Geheimhaltung

§ 1Abs.

1 DSG geltend gemacht werde. 1.2. Nach einem Mangelbehebungsauftrag hinsichtlich Bezeichnung des als verletzt erachteten Rechts sowie des Begehrens, die behauptete Rechtsverletzung festzustellen, erfolgte am 29.10.2019 eine Beschwerdeergänzung, wonach eine Verletzung des Rechts auf Geheimhaltung

Paragraph eins, Absatz eins, DSG geltend gemacht werde. Mit diesem Schreiben legte der MB die Urkunden Beilagen ./A bis ./O vor. 1.3. Über Aufforderung der belangten Behörde erfolgte am 28.11.2019 eine Stellungnahme der BF. Diese brachte vor, bei Bluten, die von anderen Ordinationen abgenommen würden, wobei die BF keinen unmittelbaren Patientenkontakt habe, werde nach Eingang des Blutes samt Zuweisungsschein in die Labor-EDV ein Auftrag unter Übernahme der Patientenstammdaten, wie im Zuweisungsschein des Arztkollegen vermerkt, erstellt (Name, Vorname, Geburtsdatum, Sozialversicherungsnummer, Adresse) und die gewünschte Zustellart des Befundes erfasst. Vorliegendenfalls und nicht ungewöhnlich sei dieser Auftrag von Dr. XXXX mehrmals ergänzt worden, auch unter Änderung der Zustellmodalitäten des Befundes. Zwischenzeitig auf Zuweisungsscheinen vermerkte Änderungen der Zustellungsmodalitäten würden umgehend in das EDV-System eingepflegt und in weiterer Folge automatisch umgesetzt. Die Zuweisungen, die vom MB als Beilagen ./B und ./C vorgelegt worden seien, seien die ersten beiden Zuweisungen von Dr. XXXX gewesen, die gemeinsam mit dem abgenommenen Blut vom Fahrer der BF übernommen, in das Labor transportiert und dort beim Eingang als Auftrag unter Übernahme der sich aus den Zuweisungsscheinen ergebenden Daten erfasst worden seien. Genauso sei die dort ersichtliche Adresse des MB erfasst und die Zustellmodalität „Rechnung an Patient erbeten und Befund an Ordination“ umgesetzt worden (auf den Beilagen ./B und ./C lautet die Adresse des MB: XXXX Anmerkung durch das Gericht). Vorliegendenfalls und nicht ungewöhnlich sei dieser Auftrag von Dr. römisch 40 mehrmals ergänzt worden, auch unter Änderung der Zustellmodalitäten des Befundes. Zwischenzeitig auf Zuweisungsscheinen vermerkte Änderungen der Zustellungsmodalitäten würden umgehend in das EDV-System eingepflegt und in weiterer Folge automatisch umgesetzt. Die Zuweisungen, die vom MB als Beilagen ./B und ./C vorgelegt worden seien, seien die ersten beiden Zuweisungen von Dr. römisch 40 gewesen, die gemeinsam mit dem abgenommenen Blut vom Fahrer der BF übernommen, in das Labor transportiert und dort beim Eingang als Auftrag unter Übernahme der sich aus den Zuweisungsscheinen ergebenden Daten erfasst worden seien. Genauso sei die dort ersichtliche Adresse des MB erfasst und die Zustellmodalität „Rechnung an Patient erbeten und Befund an Ordination“ umgesetzt worden (auf den Beilagen ./B und ./C lautet die Adresse des MB: römisch 40 Anmerkung durch das Gericht). Mit Ergänzung des Auftrags laut der schriftlichen Zuweisung Beilage ./A sei von Dr. XXXX die Zuweisungsmodalität auf “Befund und Rechnung an Patient, Kopie an Ordination“ geändert und von der BF im Labor-EDV-System übernommen worden. Mit Ergänzung des Auftrags laut der schriftlichen Zuweisung Beilage ./A sei von Dr. römisch 40 die Zuweisungsmodalität auf “Befund und Rechnung an Patient, Kopie an Ordination“ geändert und von der BF im Labor-EDV-System übernommen worden. Aufgrund der Zuweisungen Beilagen ./A bis ./C seien die angeführten Untersuchungen der Blutprobe durchgeführt, technisch und medizinisch validiert und der Befund gedruckt worden. Dieser sei dann aufgrund der zuletzt bekannt gegebenen Zuweisungsmodalität Beilage ./A an die erfasste Anschrift des MB per Post am 28.06.2019 versandt worden. An Dr. XXXX sei der Befundversand sowohl per Telefax als auch postalisch am 26.06.2019 erfolgt. Die letzte Ergänzung des Auftrags durch die Ordination Dr. XXXX sei am 01.07.2019 (HbA1C und HIV) telefonisch erfolgt und nach Befunderstellung an Dr. XXXX und an den MB versandt worden. Aufgrund der Zuweisungen Beilagen ./A bis ./C seien die angeführten Untersuchungen der Blutprobe durchgeführt, technisch und medizinisch validiert und der Befund gedruckt worden. Dieser sei dann aufgrund der zuletzt bekannt gegebenen Zuweisungsmodalität Beilage ./A an die erfasste Anschrift des MB per Post am 28.06.2019 versandt worden. An Dr. römisch 40 sei der Befundversand sowohl per Telefax als auch postalisch am 26.06.2019 erfolgt. Die letzte Ergänzung des Auftrags durch die Ordination Dr. römisch 40 sei am 01.07.2019 (HbA1C und HIV) telefonisch erfolgt und nach Befunderstellung an Dr. römisch 40 und an den MB versandt worden. Die Darstellungen der Vorgänge durch den MB seien nicht stringent: In Beantwortung des Schreibens des Datenschutzbeauftragten der BF vom 30.08.2019 schreibe der MB in seinem Mail vom selben Tag: „Ich habe persönlich am Datum der Blutabnahme am 26.06.2019 (oder einen Tag später) beim Labor angerufen und die konkrete Anschrift durchgegeben. Es wurde mir bei diesem Telefonat nicht gesagt, dass ich dies schriftlich mitteilen sollte, vielmehr bedankte man sich für den Hinweis und meinte noch, dass man die bereits fertiggestellten und falsch adressierten Befunde zurückhalten werde.“ In der Anzeige an die belangte Behörde führe der MB nunmehr aus: „Bei meinem Gespräch am Vormittag des 01.07.2019 hat der Betroffene telefonisch Kontakt mit der Gruppenpraxis aufgenommen und mitgeteilt, dass sich seine Zustelladresse geändert hat. Die auf der Überweisung angegebene Adresse XXXX , existiert seit zehn Jahren nicht mehr. Dies wurde mit der Auskunft entgegengenommen, dass der Anruf rechtzeitig erfolgt sei, weil bereits im Postausgang ein Brief (der Betroffene ging von der Honorarnote aus) für ihn liegen würde.“ In der Anzeige an die belangte Behörde führe der MB nunmehr aus: „Bei meinem Gespräch am Vormittag des 01.07.2019 hat der Betroffene telefonisch Kontakt mit der Gruppenpraxis aufgenommen und mitgeteilt, dass sich seine Zustelladresse geändert hat. Die auf der Überweisung angegebene Adresse römisch 40 , existiert seit zehn Jahren nicht mehr. Dies wurde mit der Auskunft entgegengenommen, dass der Anruf rechtzeitig erfolgt sei, weil bereits im Postausgang ein Brief (der Betroffene ging von der Honorarnote aus) für ihn liegen würde.“ Der MB habe seine Angaben an die zwischenzeitig durch Univ. Prof. Dr. XXXX erteilte Information angepasst. Das Telefonat mit einer Angestellten der BF solle also nunmehr statt am 26.06.2019 oder dem Folgetag am 01.07.2019 stattgefunden haben. Der MB habe seine Angaben an die zwischenzeitig durch Univ. Prof. Dr. römisch 40 erteilte Information angepasst. Das Telefonat mit einer Angestellten der BF solle also nunmehr statt am 26.06.2019 oder dem Folgetag am 01.07.2019 stattgefunden haben. Aber auch der geschilderte Inhalt des Telefongesprächs habe nunmehr in der Anzeige eine Änderung erfahren. Zwischenzeitig sei dem MB von Dr. XXXX mitgeteilt worden, dass dieser mit einer Dame aus der Verrechnungsabteilung telefonisch Kontakt gehabt habe. Dieser Information folgend oder durch diese in seiner Erinnerung aufgefrischt, habe der MB in der Anzeige an die Datenschutzbehörde mitgeteilt: „Am Vormittag des 01.07.2019 hat der Betroffene telefonisch Kontakt mit der Gruppenpraxis aufgenommen und mitgeteilt, dass sich seine Zustelladresse geändert hat. Die auf der Überweisung angegebene Adresse XXXX , existiert seit zehn Jahren nicht mehr. Dies wurde mit der Auskunft entgegengenommen, dass der Anruf rechtzeitig erfolgt sei, weil bereits im Postausgang ein Brief (der Betroffene ging von der Honorarnote aus) für ihn liegen würde.“ Aber auch der geschilderte Inhalt des Telefongesprächs habe nunmehr in der Anzeige eine Änderung erfahren. Zwischenzeitig sei dem MB von Dr. römisch 40 mitgeteilt worden, dass dieser mit einer Dame aus der Verrechnungsabteilung telefonisch Kontakt gehabt habe. Dieser Information folgend oder durch diese in seiner Erinnerung aufgefrischt, habe der MB in der Anzeige an die Datenschutzbehörde mitgeteilt: „Am Vormittag des 01.07.2019 hat der Betroffene telefonisch Kontakt mit der Gruppenpraxis aufgenommen und mitgeteilt, dass sich seine Zustelladresse geändert hat. Die auf der Überweisung angegebene Adresse römisch 40 , existiert seit zehn Jahren nicht mehr. Dies wurde mit der Auskunft entgegengenommen, dass der Anruf rechtzeitig erfolgt sei, weil bereits im Postausgang ein Brief (der Betroffene ging von der Honorarnote aus) für ihn liegen würde.“ Dies stehe in unauflösbarem Widerspruch zu der Mitteilung, im Rahmen des Telefongesprächs habe man sich für die Information zur richtigen Adresse bedankt und mitgeteilt, man werde die unrichtig adressierten Befunde zurückhalten, weil der MB bei einer allfälligen Mitteilung dieser Information nicht der Ansicht hätte sein können, es sei nur um die Honorarnote gegangen. Die Darstellung des Gesprächsinhalts mit der Verrechnungsabteilung in der Anzeige des MB werde durch die Recherche der BF bestätigt. Tatsächlich sei die Adresse für den Versand der Rechnung geändert worden. Der MB sei davon ausgegangen, dass es sich bei dem Schriftstück im Postausgang um die Rechnung gehandelt habe, weil ihm eben nicht mitgeteilt worden sei, es seien Befunde im Postausgang. Eine solche Auskunft wäre auch unrichtig gewesen, weil zum Zeitpunkt des Anrufes am 01.07.2019 und ca. 12:56 Uhr kein Befund des MB im Postausgang gelegen sei, sondern eine Rechnung mit Anschrift XXXX die mit großem Aufwand zurückgehalten habe werden können. Die Rechnung sei in weiterer Folge storniert worden, mit der vom MB telefonisch bekannt gegebenen Adresse in Baden neuerlich ausgestellt und zum Versand gebracht worden. Die Verrechnungsabteilung sei in der Lage, die Leistungen für die Verrechnung zu erfassen und Rechnungen auszustellen. Für die Änderung der Adressdaten zur Befundzustellung habe die Verrechnungsabteilung keinen Zugriff auf das Labor-EDV-System. Hätte der MB telefonisch um die Änderung der Adresse für die Befundzustellung ersucht, wäre ihm die Auskunft erteilt worden, dass dies aus datenschutzrechtlichen Gründen nicht möglich sei. Er wäre mit der SOP (wohl „standard operating procedure“, Anmerkung des Gerichts) der Gruppenpraxis vertraut gemacht worden, dass dies nur schriftlich unter Übermittlung der Kopie eines die gewünschte Adresse ausweisenden Meldezettels möglich sei. Die Darstellung des Gesprächsinhalts mit der Verrechnungsabteilung in der Anzeige des MB werde durch die Recherche der BF bestätigt. Tatsächlich sei die Adresse für den Versand der Rechnung geändert worden. Der MB sei davon ausgegangen, dass es sich bei dem Schriftstück im Postausgang um die Rechnung gehandelt habe, weil ihm eben nicht mitgeteilt worden sei, es seien Befunde im Postausgang. Eine solche Auskunft wäre auch unrichtig gewesen, weil zum Zeitpunkt des Anrufes am 01.07.2019 und ca. 12:56 Uhr kein Befund des MB im Postausgang gelegen sei, sondern eine Rechnung mit Anschrift römisch 40 die mit großem Aufwand zurückgehalten habe werden können. Die Rechnung sei in weiterer Folge storniert worden, mit der vom MB telefonisch bekannt gegebenen Adresse in Baden neuerlich ausgestellt und zum Versand gebracht worden. Die Verrechnungsabteilung sei in der Lage, die Leistungen für die Verrechnung zu erfassen und Rechnungen auszustellen. Für die Änderung der Adressdaten zur Befundzustellung habe die Verrechnungsabteilung keinen Zugriff auf das Labor-EDV-System. Hätte der MB telefonisch um die Änderung der Adresse für die Befundzustellung ersucht, wäre ihm die Auskunft erteilt worden, dass dies aus datenschutzrechtlichen Gründen nicht möglich sei. Er wäre mit der SOP (wohl „standard operating procedure“, Anmerkung des Gerichts) der Gruppenpraxis vertraut gemacht worden, dass dies nur schriftlich unter Übermittlung der Kopie eines die gewünschte Adresse ausweisenden Meldezettels möglich sei. Mit dem Vorwurf (Anzeige Punkt e. lit. a), die BF hätte den Befund an eine nicht verifizierte und mit dem MB nicht abgesproche Adresse übermittelt, würden die Sorgfaltsverpflichtungen der BF erheblich überspannt und ein datenschutzwidriges Verhalten eingefordert. Eine Erhebung der Adresse zur Befundübermittlung unter Feststellung der Identität des Patienten, wie dies normalerweise bei der Blutabnahme in den Ordinationsstandorten der BF erfolge, sei bei Übermittlung und Analyse von Blutproben, die von Kollegen in ihren Ordinationen gewonnen würden, nicht möglich. Es gebe in der Regel keinen Grund daran zu zweifeln, dass die vom zuweisenden Arzt mit der Zuweisung übermittelten Patientendaten (gemeint:) richtig seien, wenn es sich nicht um offensichtliche Unrichtigkeiten handle. Die geforderte Kontrolle der Adressen mit ZMR-Abfragen sei völlig überzogen und lebensfremd. Mit dem Vorwurf (Anzeige Punkt e. Litera a,), die BF hätte den Befund an eine nicht verifizierte und mit dem MB nicht abgesproche Adresse übermittelt, würden die Sorgfaltsverpflichtungen der BF erheblich überspannt und ein datenschutzwidriges Verhalten eingefordert. Eine Erhebung der Adresse zur Befundübermittlung unter Feststellung der Identität des Patienten, wie dies normalerweise bei der Blutabnahme in den Ordinationsstandorten der BF erfolge, sei bei Übermittlung und Analyse von Blutproben, die von Kollegen in ihren Ordinationen gewonnen würden, nicht möglich. Es gebe in der Regel keinen Grund daran zu zweifeln, dass die vom zuweisenden Arzt mit der Zuweisung übermittelten Patientendaten (gemeint:) richtig seien, wenn es sich nicht um offensichtliche Unrichtigkeiten handle. Die geforderte Kontrolle der Adressen mit ZMR-Abfragen sei völlig überzogen und lebensfremd. Der Vorwurf der Anzeige Punkt e. lit. b, der Übersendung „sensitiver“ Daten an eine alte Adresse, obwohl die neue Adresse schon bekannt gewesen sei, sei nicht nachvollziehbar, habe doch der MB bei dem Anruf in der Verrechnungsabteilung selbst angenommen, nun die Änderung der Rechnungsadresse herbeigeführt zu haben. Anderes könne dem MB, einem ausgewiesenen Datenschutzspezialisten für das Gesundheitswesen, nicht insinuiert werden. Ansonsten hätte er die BF nicht veranlasst, ohne weitere Identitätsprüfung die Adresse für die Übermittlung der Befunde und somit für die Übermittlung hochsensibler Daten zu ändern. Der Vorwurf der Anzeige Punkt e. Litera b,, der Übersendung „sensitiver“ Daten an eine alte Adresse, obwohl die neue Adresse schon bekannt gewesen sei, sei nicht nachvollziehbar, habe doch der MB bei dem Anruf in der Verrechnungsabteilung selbst angenommen, nun die Änderung der Rechnungsadresse herbeigeführt zu haben. Anderes könne dem MB, einem ausgewiesenen Datenschutzspezialisten für das Gesundheitswesen, nicht insinuiert werden. Ansonsten hätte er die BF nicht veranlasst, ohne weitere Identitätsprüfung die Adresse für die Übermittlung der Befunde und somit für die Übermittlung hochsensibler Daten zu ändern. Der Vorwurf betreffend Anzeige Punkt e. lit. c, die BF habe bereits am 01.07.2019 Kenntnis von einer Datenschutzverletzung gehabt, sei nicht nachvollziehbar, habe doch der MB zu diesem Zeitpunkt seine Rechnungsadresse geändert. Der Vorwurf betreffend Anzeige Punkt e. Litera c,, die BF habe bereits am 01.07.2019 Kenntnis von einer Datenschutzverletzung gehabt, sei nicht nachvollziehbar, habe doch der MB zu diesem Zeitpunkt seine Rechnungsadresse geändert. Auch die übrigen Vorwürfe seien unzutreffend. Die BF habe keine Verletzung des Rechts auf Geheimhaltung zu verantworten und beantrage die Verfahrenseinstellung. Übermittelt wurde weiters eine „Meldung von Verletzungen des Schutzes personenbezogener Daten

Art. 33

DSGVO“ seitens der BF vom 30.08.2019, wonach Befunde an eine alte Postadresse des Patienten, die auf dem Überweisungsschein der zuweisenden Ärztin angeführt sei, gesendet worden seien. Der postalische Befundversand sei am 28.06.2019 bzw. am 02.07.2019 erfolgte (Beilage ./1). Mitübermittelt wurden auch weitere Urkunden. Übermittelt wurde weiters eine „Meldung von Verletzungen des Schutzes personenbezogener Daten

Artikel 33

, DSGVO“ seitens der BF vom 30.08.2019, wonach Befunde an eine alte Postadresse des Patienten, die auf dem Überweisungsschein der zuweisenden Ärztin angeführt sei, gesendet worden seien. Der postalische Befundversand sei am 28.06.2019 bzw. am 02.07.2019 erfolgte (Beilage ./1). Mitübermittelt wurden auch weitere Urkunden. 1.4. Hiezu nahm der MB mit Schreiben vom 23.12.2019 wie folgt Stellung: Die BF habe zugestanden, dass aus den ersten beiden Zuweisungen klar und deutlich hervorgegangen sei, dass der Befund ausschließlich an die Ordination gesendet werden sollte. Dies sei nicht geschehen. Befremdlich wirke hier der Vorwurf gegen den MB, dieser hätte nur die Rechnungsadresse geändert. Wenn er anrufe, um mitzuteilen, dass die Adresse seit zehn Jahren veraltet sei, könne man schlecht davon ausgehen, dass die Übersendung sensitiver Daten an eine nicht mehr existente Adresse gewünscht werde. Dies sei als reine Schutzbehauptung zu sehen. Überdies sei dem MB zu diesem Zeitpunkt nicht bekannt gewesen, dass überhaupt ein Befund an seine alte Adresse übersendet worden sei. Unklar sei weiters, wieso dem MB bekannt hätte sein müssen, dass eine telefonische Änderung der Zustelladresse für einen Befund nicht möglich sein sollte. Es hätte unter Heranziehung normaler Sorgfaltspflichten jedenfalls bereits am 01.07.2019 auffallen müssen, dass ein Befund mit sensitiven Daten an eine nicht mehr existente Adresse geschickt worden sei. Bereits zu diesem Zeitpunkt hätte die Meldung

Art. 33DSGVO erstattet werden müssen.

Die BF habe zugestanden, dass aus den ersten beiden Zuweisungen klar und deutlich hervorgegangen sei, dass der Befund ausschließlich an die Ordination gesendet werden sollte. Dies sei nicht geschehen. Befremdlich wirke hier der Vorwurf gegen den MB, dieser hätte nur die Rechnungsadresse geändert. Wenn er anrufe, um mitzuteilen, dass die Adresse seit zehn Jahren veraltet sei, könne man schlecht davon ausgehen, dass die Übersendung sensitiver Daten an eine nicht mehr existente Adresse gewünscht werde. Dies sei als reine Schutzbehauptung zu sehen. Überdies sei dem MB zu diesem Zeitpunkt nicht bekannt gewesen, dass überhaupt ein Befund an seine alte Adresse übersendet worden sei. Unklar sei weiters, wieso dem MB bekannt hätte sein müssen, dass eine telefonische Änderung der Zustelladresse für einen Befund nicht möglich sein sollte. Es hätte unter Heranziehung normaler Sorgfaltspflichten jedenfalls bereits am 01.07.2019 auffallen müssen, dass ein Befund mit sensitiven Daten an eine nicht mehr existente Adresse geschickt worden sei. Bereits zu diesem Zeitpunkt hätte die Meldung

Artikel 33, DSGVO erstattet werden müssen.

Die BF habe mehrere Sorgfaltsverstöße zu verantworten, nämlich eine Befundübersendung an eine seit zehn Jahren nicht mehr existente Privatadresse, obwohl dies nicht angeordnet gewesen sei, zumal sich aus der ersten Zuweisung ergäbe, dass der Befund ausschließlich an die Ordination übersandt werden solle. Zudem ergäbe sich ein Verstoß gegen die regelmäßig durchzuführende Datenpflege. Offenkundig existiere kein Warnhinweis, bei älteren Daten routinemäßig eine Überprüfung durchzuführen. Bei seinem Anruf am 01.07.2019 (und nicht am 26.06.2019) sei dem MB nicht mitgeteilt worden, dass bereits eine Befundversendung stattgefunden habe. Die Meldung

§ 33

DSGVO sei verspätet erfolgt und es sei davon auszugehen, dass keine Deckung der Haftpflichtversicherung der BF für derartige Verstöße vorhanden sei. Bei seinem Anruf am 01.07.2019 (und nicht am 26.06.2019) sei dem MB nicht mitgeteilt worden, dass bereits eine Befundversendung stattgefunden habe. Die Meldung

Paragraph 33, DSGVO sei verspätet erfolgt und es sei davon auszugehen, dass keine Deckung der Haftpflichtversicherung der BF für derartige Verstöße vorhanden sei. 1.

1. Mit dem bekämpften Bescheid gab die belangte Behörde der Beschwerde statt und stellte fest, dass die BF den MB im Recht auf Geheimhaltung verletzt habe, indem sie mindestens einen Blutbefund den MB betreffend an dessen alte Wohnadresse übermittelt habe, der sodann von der dort wohnhaften Person eingesehen worden sei. Die belangte Behörde stellte folgenden Sachverhalt fest (die Parteienbezeichnungen wurden adaptiert): „
2. Die BF betreibt eine Gruppenpraxis für medizinische und chemische Labordiagnostik in der XXXX . „
3. Die BF betreibt eine Gruppenpraxis für medizinische und chemische Labordiagnostik in der römisch 40 .
4. Dem MB wurde am 26.06.2019 in der Ordination von Dr. XXXX Blut abgenommen. Die BF wurde von Dr. XXXX mit der Durchführung von Blutuntersuchungen und der Befunderstellung beauftragt.
5. Dem MB wurde am 26.06.2019 in der Ordination von Dr. römisch 40 Blut abgenommen. Die BF wurde von Dr. römisch 40 mit der Durchführung von Blutuntersuchungen und der Befunderstellung beauftragt.
6. Auf der Überweisung „Titerkontrolle Hepatitis A plus B“ vom 26.06.2019 wurde vermerkt, dass der Befund und die Rechnung an den MB sowie eine Kopie an die Ordination zu erfolgen hat. Die zweite Überweisung vom 26.06.2019 lautet „Rechnung an Patient, Befund an Ordination“. Die dritte Überweisung vom 26.06.2019 enthält keine Anweisungen zu den Zustellungsmodalitäten.
7. Der MB hat am 01.07.2019 telefonisch bei einer Mitarbeiterin der BF bekannt gegeben, dass die auf der Überweisung vermerkte Adresse XXXX , veraltet ist und hat um Versand an seine aktuelle Adresse XXXX gebeten.
8. Der MB hat am 01.07.2019 telefonisch bei einer Mitarbeiterin der BF bekannt gegeben, dass die auf der Überweisung vermerkte Adresse römisch 40 , veraltet ist und hat um Versand an seine aktuelle Adresse römisch 40 gebeten.
9. Die korrigierten Honorarnoten für die Befunderstellung vom 02.07.2019 und vom 04.07.20219 ergingen an die aktuelle Adresse in der XXXX . Die Befunde, datiert mit 28.06.2019 und 01.06.2019, wurden an die Adresse XXXX , versandt. Mindestens einer davon wurde von der an dieser Adresse wohnhaften Person geöffnet.
10. Die korrigierten Honorarnoten für die Befunderstellung vom 02.07.2019 und vom 04.07.20219 ergingen an die aktuelle Adresse in der römisch 40 . Die Befunde, datiert mit 28.06.2019 und 01.06.2019, wurden an die Adresse römisch 40 , versandt. Mindestens einer davon wurde von der an dieser Adresse wohnhaften Person geöffnet.
11. Die BF teilte der belangten Behörde in ihrer Meldung

Art. 33

DSGVO vom 30.08.2019 mit, dass die Befunde des MB am 26.06.2019 und am 02.07.2019 an die falsche Adresse übermittelt worden waren.“6. Die BF teilte der belangten Behörde in ihrer Meldung

Artikel 33

, DSGVO vom 30.08.2019 mit, dass die Befunde des MB am 26.06.2019 und am 02.07.2019 an die falsche Adresse übermittelt worden waren.“ Rechtlich stellte die belangte Behörde zunächst § 1 Abs. 1 DSG dar und führte ferner aus, gegenständlich sei insofern in das Recht auf Geheimhaltung des MB eingegriffen worden, indem dessen Blutbefund samt den darin enthaltenen personenbezogenen Daten an eine falsche Adresse übermittelt und in weiterer Folge von einer dritten Person eingesehen worden sei. Gegenständlich seien besonders schutzwürdige Daten im Sinne des §§ 1 Abs. 2 zweiter Satz DSG und Art. 9 Abs. 1 DSGVO verarbeitet worden und damit einerseits die Verarbeitung an das Bestehen wichtiger öffentlicher Interessen geknüpft. Gleichzeitig müssten angemessene Garantien für den Schutz der Geheimhaltungsinteressen des MB bestehen. Hier werde zwar das ursprüngliche Vorliegen einer Rechtsgrundlage für die Verarbeitung der Gesundheitsdaten des MB durch die BF nicht bestritten, fraglich sei aber, ob die BF den MB in seinen Rechten verletzt habe, indem sie bei der Verarbeitung gegen die Grundsätze der DSGVO verstoßen habe.

Art. 5Abs.

1 lit. d DSGVO müssten personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Der Verantwortliche habe angemessene Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig seien, unverzüglich gelöscht oder berichtigt werden (Grundsatz der Datenrichtigkeit). Bei der Umsetzung geeigneter technischer und organisatorischer Maßnahmen

Art. 24

DSGVO seien die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere der Risken für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen. Rechtlich stellte die belangte Behörde zunächst Paragraph eins, Absatz eins, DSG dar und führte ferner aus, gegenständlich sei insofern in das Recht auf Geheimhaltung des MB eingegriffen worden, indem dessen Blutbefund samt den darin enthaltenen personenbezogenen Daten an eine falsche Adresse übermittelt und in weiterer Folge von einer dritten Person eingesehen worden sei. Gegenständlich seien besonders schutzwürdige Daten im Sinne des Paragraphen eins, Absatz 2, zweiter Satz DSG und Artikel 9, Absatz eins, DSGVO verarbeitet worden und damit einerseits die Verarbeitung an das Bestehen wichtiger öffentlicher Interessen geknüpft. Gleichzeitig müssten angemessene Garantien für den Schutz der Geheimhaltungsinteressen des MB bestehen. Hier werde zwar das ursprüngliche Vorliegen einer Rechtsgrundlage für die Verarbeitung der Gesundheitsdaten des MB durch die BF nicht bestritten, fraglich sei aber, ob die BF den MB in seinen Rechten verletzt habe, indem sie bei der Verarbeitung gegen die Grundsätze der DSGVO verstoßen habe.

Artikel 5

, Absatz eins, Litera d, DSGVO müssten personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Der Verantwortliche habe angemessene Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig seien, unverzüglich gelöscht oder berichtigt werden (Grundsatz der Datenrichtigkeit). Bei der Umsetzung geeigneter technischer und organisatorischer Maßnahmen

Artikel 24

, DSGVO seien die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere der Risken für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen. Nach dem festgestellten Sachverhalt sei die Information, dass die auf der Überweisung angegebene Zustelladresse des MB unrichtig sei, einer Mitarbeiterin der BF bereits am 01.07.2019 zur Kenntnis gebracht worden. Wenn die BF nunmehr vorbringe, dies sei lediglich in der Verrechnungsabteilung bekannt gemacht worden, sei dem zu entgegnen, dass die Verarbeitung einer falschen Zustelladresse ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstelle, dies umso mehr, wenn es sich, wie im vorliegenden Fall, um besonders schützenswerte Gesundheitsdaten handle. Die BF hätte nach Maßgabe von Art. 5 Abs. 1 lit. d iVm Art. 24 DSGVO bei der Umsetzung geeigneter technischer und organisatorischer Maßnahmen unter anderem auch dafür Sorge tragen müssen, dass in solchen Fällen ein intensiver Informationsaustausch erfolge, sobald die Unrichtigkeit der Zustelladresse zur Kenntnis gebracht werde und jedenfalls keine Zustellung an eine falsche Adresse erfolge. Der MB wäre - falls nötig - auch an die richtige interne Stelle zu verweisen gewesen, um seinem Anliegen zu entsprechen. Nach dem festgestellten Sachverhalt sei die Information, dass die auf der Überweisung angegebene Zustelladresse des MB unrichtig sei, einer Mitarbeiterin der BF bereits am 01.07.2019 zur Kenntnis gebracht worden. Wenn die BF nunmehr vorbringe, dies sei lediglich in der Verrechnungsabteilung bekannt gemacht worden, sei dem zu entgegnen, dass die Verarbeitung einer falschen Zustelladresse ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstelle, dies umso mehr, wenn es sich, wie im vorliegenden Fall, um besonders schützenswerte Gesundheitsdaten handle. Die BF hätte nach Maßgabe von Artikel 5, Absatz eins, Litera d, in Verbindung mit Artikel 24, DSGVO bei der Umsetzung geeigneter technischer und organisatorischer Maßnahmen unter anderem auch dafür Sorge tragen müssen, dass in solchen Fällen ein intensiver Informationsaustausch erfolge, sobald die Unrichtigkeit der Zustelladresse zur Kenntnis gebracht werde und jedenfalls keine Zustellung an eine falsche Adresse erfolge. Der MB wäre - falls nötig - auch an die richtige interne Stelle zu verweisen gewesen, um seinem Anliegen zu entsprechen. Die gegenständliche Datenverarbeitung sei daher entgegen den Grundsätzen der DSGVO erfolgt, weil die Daten des MB nicht dem aktuellen Stand entsprochen hätten. Die Verletzung dieses Grundsatzes bewirke im Ergebnis, dass die Datenverarbeitung unrechtmäßig erfolgt sei. 1.

1. Gegen diesen Bescheid richtet sich die Beschwerde der BF wegen Aktenwidrigkeit, mangelhafter Beweiswürdigung, materieller Rechtswidrigkeit sowie Uneindeutigkeit des Spruchs mit dem primären Antrag, den Bescheid zu beheben und an die belangte Behörde zur neuerlichen Entscheidung zurückzuverweisen. Hilfsweise wird beantragt, nach mündlicher Verhandlung in der Sache selbst zu entscheiden. 1.
2. Die belangte Behörde legte die Beschwerde dem Verwaltungsgericht samt dem elektronischen Akt – einlangend am 15.02.2021 - unter Verweis auf den Bescheid mit dem Antrag vor, die Beschwerde abzuweisen. 1.
3. Mit Äußerung vom 27.09.2021 führte der MB aus, die behauptete Aktenwidrigkeit liege nicht vor. Die BF habe bereits gegen die Verfügung der zuweisenden Ärztin verstoßen, indem sie den Befund nicht ausschließlich an die Ordinationsadresse übermittelt habe. Bei einem Privatpatienten wie dem MB wäre es völlig unlogisch anzunehmen, dass die Rechnungsadresse sowie die Zustelladresse für den Befund auseinanderfallen könnten. Für den MB sei es bei seinem Anruf bei der BF nicht erkennbar gewesen, an wen mit welcher Zuständigkeit er verbunden werde. Keinesfalls habe der MB bei seinem Anruf ausschließlich die Rechnungen im Blick gehabt, da er erst am 26.08.2019 erfahren habe, dass die Befunde an eine falsche Adresse versandt worden seien. Würde der Postversand der BF durch zwei völlig getrennte Einheiten, die nicht miteinander kommunizierten, durchgeführt, so läge ein massives Organisationsverschulden vor. Der Spruch der belangten Behörde sei eindeutig, zumal die Öffnung durch einen Dritten kein eigenständiger Beschwerdepunkt gewesen sei. 1.
4. In der beim BVwG durchgeführten öffentlichen mündlichen Verhandlung wurden der MB sowie Univ. Prof. Dr. XXXX für die BF als Parteien sowie XXXX als Zeugin vernommen. 1.
5. In der beim BVwG durchgeführten öffentlichen mündlichen Verhandlung wurden der MB sowie Univ. Prof. Dr. römisch 40 für die BF als Parteien sowie römisch 40 als Zeugin vernommen. Die Beschwerde ist im Ergebnis nicht berechtigt: Aufgrund der Ergebnisse der mündlichen Verhandlung, der vorgelegten Urkunden sowie dem sonstigen Akteninhalt steht folgender Sachverhalt fest: 2.
6. Der BF ist Rechtsanwalt und suchte im Juni und Juli 2019 die Ärztin für Allgemeinmedizin Dr. XXXX in XXXX auf, insbesondere um Befunde für eine abzuschließende Lebensversicherung zu erheben. Diese Ärztin hatte der MB zuvor jahrelang nicht aufgesucht, weshalb dort eine seit langem veraltete Adresse des MB, XXXX , (im Folgenden auch: XXXX ) in Evidenz gehalten worden war. Im Zeitraum jedenfalls seit Juni 2019 lautete die aktuelle Adresse des MB XXXX bei Wien (im Folgenden auch: XXXX ).2.
7. Der BF ist Rechtsanwalt und suchte im Juni und Juli 2019 die Ärztin für Allgemeinmedizin Dr. römisch 40 in römisch 40 auf, insbesondere um Befunde für eine abzuschließende Lebensversicherung zu erheben. Diese Ärztin hatte der MB zuvor jahrelang nicht aufgesucht, weshalb dort eine seit langem veraltete Adresse des MB, römisch 40 , (im Folgenden auch: römisch 40 ) in Evidenz gehalten worden war. Im Zeitraum jedenfalls seit Juni 2019 lautete die aktuelle Adresse des MB römisch 40 bei Wien (im Folgenden auch: römisch 40 ). 2.
8. Die BF betreibt in Wien ein Labor für medizinische und chemische Labordiagnostik mit neun Ordinationsstandpunkten und etwa 500 Mitarbeitern. Die Organisation der BF umfasst dabei unter anderem eine Verrechnungsabteilung, die ausschließlich mit der Verrechnung von durch die BF erbrachten Leistungen befasst ist. Mit den zu erstellenden Befunden und deren Zustellung war im Jahr 2019 allein die Abteilung „Ärztebetreuung“ befasst. Die beiden genannten Abteilungen können insofern nicht auf die EDV der jeweils anderen Abteilung zugreifen, als sie Adressänderungen jeweils lediglich für ihren jeweiligen Zuständigkeitsbereich (Verrechnungsabteilung für den Verrechnungsbereich, Ärztebetreuung für den Befundbereich) durchführen können. 2.
9. Bei Dr. XXXX wurde am 26.06.2019 eine Blutprobe des MB genommen. Diese Probe samt den Überweisungen Dris. XXXX wurde per Fahrer am 26.06.2019 ins Labor der BF gebracht, wo diese um 16:08 Uhr einlangten (Beilagen ./7 und ./8). 2.
10. Bei Dr. römisch 40 wurde am 26.06.2019 eine Blutprobe des MB genommen. Diese Probe samt den Überweisungen Dris. römisch 40 wurde per Fahrer am 26.06.2019 ins Labor der BF gebracht, wo diese um 16:08 Uhr einlangten (Beilagen ./7 und ./8). 2.
11. Die Überweisungen an die BF lauten: „ XXXX “ (Beilage ./B);„ römisch 40 “ (Beilage ./B); „ XXXX (Beilage ./C). „ römisch 40 (Beilage ./C). Beide Zuweisungen tragen die Patientendaten: „ XXXX “Beide Zuweisungen tragen die Patientendaten: „ römisch 40 “ 2.
12. Die allgemeine Vorgangsweise der BF bei in anderen Ordinationen abgenommenen Bluten ohne unmittelbaren Patientenkontakt ist die Erstellung eines Auftrages nach Eingang des Blutes samt Zuweisungsschein unter Übernahme der Patientenstammdaten, wie im Zuweisungsschein des Arztkollegen vermerkt (Name, Vorname, Geburtsdatum, Sozialversicherungsnummer, Adresse), und der gewünschten Zustellart des Befundes. 2.
13. In concreto wurden aufgrund der Eingänge zu Beilagen ./B und ./ C diese Umstände in die EDV der BF eingepflegt unter Berücksichtigung der gewünschten Zustellmodalitäten „Rechnung an Patient, Befund an Ordination“. 2.
14. Aufgrund einer telefonischen Nachforderung (26.06.2019 16.03 Uhr), wurde der zunächst nur telefonisch übermittelte Inhalt der Überweisung Beilage ./A in das EDV System der BF eingepflegt. Diese enthält als Diagnose „Impfstatus Hepatitis A+B“, als Zweck „Titerkontrolle Hepatitis A+B“ sowie den Vermerk „Befund und Rechnung an Patient, Kopie an Ordination“ wieder mit Adresse XXXX Die Überweisung der Beilage ./A in Schriftform ging erst am 28.06.2019 bei der BF ein (Dr. XXXX , Protokoll S 10 und 11, Beilage ./11). 2.
15. Aufgrund einer telefonischen Nachforderung (26.06.2019 16.03 Uhr), wurde der zunächst nur telefonisch übermittelte Inhalt der Überweisung Beilage ./A in das EDV System der BF eingepflegt. Diese enthält als Diagnose „Impfstatus Hepatitis A+B“, als Zweck „Titerkontrolle Hepatitis A+B“ sowie den Vermerk „Befund und Rechnung an Patient, Kopie an Ordination“ wieder mit Adresse römisch 40 Die Überweisung der Beilage ./A in Schriftform ging erst am 28.06.2019 bei der BF ein (Dr. römisch 40 , Protokoll S 10 und 11, Beilage ./11). 2.
16. Am 28.06.2019 (Erhalt der schriftlichen Anforderung, Beilage ./A) pflegte die BF die Verfügung „Befund und Rechnung an Patient, Kopie an Ordination erbeten“ in ihr EDV System ein und betrachtete dies als Änderung für den gesamten Auftrag (Dr. XXXX , S 11, Beilage ./12). 2.
17. Am 28.06.2019 (Erhalt der schriftlichen Anforderung, Beilage ./A) pflegte die BF die Verfügung „Befund und Rechnung an Patient, Kopie an Ordination erbeten“ in ihr EDV System ein und betrachtete dies als Änderung für den gesamten Auftrag (Dr. römisch 40 , S 11, Beilage ./12). 2.
18. Ein „Sammelbefund“ betreffend die Aufträge (Beilagen ./A bis ./C) erging noch am 26.06.2019 per Fax an Dr. XXXX (Beilage ./D), weiters am 28.06.2019 je per Post an die Ärztin (Beilage ./E) sowie an den MB an die Adresse XXXX (Beilage ./F). 2.
19. Ein „Sammelbefund“ betreffend die Aufträge (Beilagen ./A bis ./C) erging noch am 26.06.2019 per Fax an Dr. römisch 40 (Beilage ./D), weiters am 28.06.2019 je per Post an die Ärztin (Beilage ./E) sowie an den MB an die Adresse römisch 40 (Beilage ./F). 2.
20. Aufgrund einer weiteren Nachforderung am 01.07.2019 mittags (Beilage ./13) Uhr erging ein weiterer Befund betreffend Langzeitzucker sowie HIV, der noch am 01.07.2019 erstellt (Beilage ./G) und sodann am 02.07.2019 postalisch an den MB an die Adresse XXXX versandt wurde (Angaben der BF in ihrer Meldung an die DSB Pkt.
21. Beilage ./1).2.
22. Aufgrund einer weiteren Nachforderung am 01.07.2019 mittags (Beilage ./13) Uhr erging ein weiterer Befund betreffend Langzeitzucker sowie HIV, der noch am 01.07.2019 erstellt (Beilage ./G) und sodann am 02.07.2019 postalisch an den MB an die Adresse römisch 40 versandt wurde (Angaben der BF in ihrer Meldung an die DSB Pkt.
23. Beilage ./1). 2.
24. Im Zuge der Abholung seiner Laborbefunde bei Dr. XXXX stellte der MB fest, dass dort noch die alte Adresse ( XXXX ) vermerkt war. 2.
25. Im Zuge der Abholung seiner Laborbefunde bei Dr. römisch 40 stellte der MB fest, dass dort noch die alte Adresse ( römisch 40 ) vermerkt war. 2.
26. Aufgrund dessen rief er am 01.07.2019 mittags bei der BF an und gab bei der Telefonvermittlung an, eine Adresskorrektur durchführen zu wollen. Er wurde von dort an die Verrechnungsabteilung verbunden und erreichte dort die Mitarbeiterin XXXX . Er gab gegenüber dieser an, die von der Ärztin bekanntgegebene Adresse sei veraltet und gab seine neue Adresse mit „ XXXX “ an. Dem MB wurde mitgeteilt, es liege derzeit etwas im Postauslauf, das könne man anpassen. Weder durch den MB noch durch die Mitarbeiterin der BF wurde angesprochen, ob sich die Frage der Adressänderung nur auf bestimmte oder alle möglichen Umstände (nur auf Rechnungen oder auch auf Befunde) bezieht. Weder wurde der MB seitens der Telefonvermittlung in Kenntnis gesetzt, dass er nunmehr mit der Verrechnungsabteilung verbunden werde, die lediglich für Adressänderungen betreffend Rechnungen zuständig sei, noch wurde er von der Mitarbeiterin XXXX darauf hingewiesen, dass die Adressänderungen für allfällige Befundzustellungen nicht gelte. 2.
27. Aufgrund dessen rief er am 01.07.2019 mittags bei der BF an und gab bei der Telefonvermittlung an, eine Adresskorrektur durchführen zu wollen. Er wurde von dort an die Verrechnungsabteilung verbunden und erreichte dort die Mitarbeiterin römisch 40 . Er gab gegenüber dieser an, die von der Ärztin bekanntgegebene Adresse sei veraltet und gab seine neue Adresse mit „ römisch 40 “ an. Dem MB wurde mitgeteilt, es liege derzeit etwas im Postauslauf, das könne man anpassen. Weder durch den MB noch durch die Mitarbeiterin der BF wurde angesprochen, ob sich die Frage der Adressänderung nur auf bestimmte oder alle möglichen Umstände (nur auf Rechnungen oder auch auf Befunde) bezieht. Weder wurde der MB seitens der Telefonvermittlung in Kenntnis gesetzt, dass er nunmehr mit der Verrechnungsabteilung verbunden werde, die lediglich für Adressänderungen betreffend Rechnungen zuständig sei, noch wurde er von der Mitarbeiterin römisch 40 darauf hingewiesen, dass die Adressänderungen für allfällige Befundzustellungen nicht gelte. 2.
28. Die Rechnungsadresse wurde in der EDV der BF am 01.07.2019 um 12:57 Uhr auf die neue Adresse korrigiert. Die bereits erstellte Honorarnote vom 01.07.2019 (Beilage ./6) wurde aus dem Postauslauf zurückgeholt und mit neuer Adresse XXXX als Honorarnote vom 02.07.2019 neuerlich ausgestellt und abgefertigt (Beilage ./K). 2.
29. Die Rechnungsadresse wurde in der EDV der BF am 01.07.2019 um 12:57 Uhr auf die neue Adresse korrigiert. Die bereits erstellte Honorarnote vom 01.07.2019 (Beilage ./6) wurde aus dem Postauslauf zurückgeholt und mit neuer Adresse römisch 40 als Honorarnote vom 02.07.2019 neuerlich ausgestellt und abgefertigt (Beilage ./K). 2.
30. Der MB erfuhr von der Zustellung seiner Befunde (Beilagen ./F und ./G) an die alte Adresse durch seine Schwester, die im Haus an der alten Adresse wohnte und der vom Wohnungsnachfolger des MB die Befunde in geöffneten Kuverts übergeben wurden. Beweiswürdigung: 3.
31. Die Lösung der Frage, ob die BF in Bezug auf die Versendung von zwei Befunden (vom 26.06.2019 am 28.06.2019 und vom 01.07.2019 am 02.07.2019) an die Adresse XXXX eine Geheimhaltungspflichtverletzung trifft, bedurfte einerseits der Klärung des Ablaufes der Erfassung der Blutproben sowie der damit verbundenen Daten, insbesondere, an welche Adresse die Befundversendung zu erfolgen hatte, sowie die nähere Klärung der Umstände des Anrufs des MB am 01.07.2019 bei der BF (des Anliegens des MB sowie der Reaktion der Mitarbeiter der BF und allfälliger Hinweise und Belehrungen durch diese). 3.
32. Die Lösung der Frage, ob die BF in Bezug auf die Versendung von zwei Befunden (vom 26.06.2019 am 28.06.2019 und vom 01.07.2019 am 02.07.2019) an die Adresse römisch 40 eine Geheimhaltungspflichtverletzung trifft, bedurfte einerseits der Klärung des Ablaufes der Erfassung der Blutproben sowie der damit verbundenen Daten, insbesondere, an welche Adresse die Befundversendung zu erfolgen hatte, sowie die nähere Klärung der Umstände des Anrufs des MB am 01.07.2019 bei der BF (des Anliegens des MB sowie der Reaktion der Mitarbeiter der BF und allfälliger Hinweise und Belehrungen durch diese). 3.
33. Insofern war die Beweisrüge der BF in Bezug auf die Beweiswürdigung auf S 4 des Bescheides berechtigt, als keineswegs pauschal von „unstrittigen Angaben“ des MB einerseits und der BF andererseits in ihren schriftlichen Eingaben auszugehen war. Im Rahmen einer mündlichen Verhandlung erfolgte durch detaillierte Befragung der befassten Gesellschafterin der BF und des MB sowie jener Mitarbeiterin, die das Telefonat mit dem MB geführt hatte, sowie Würdigung zahlreicher Unterlagen, soweit möglich, eine Klärung dieser Umstände. 3.
34. Dabei konnte zunächst die Chronologie der Blutprobenentnahme am 26.06.2019 bei Dr. XXXX im Bezug auf die ersten Überweisungen (Beilagen ./B und ./C) sowie eine telefonische Nachforderung verbunden mit einer weiteren schriftlichen Überweisung (Beilage ./A) geklärt werden. 3.
35. Dabei konnte zunächst die Chronologie der Blutprobenentnahme am 26.06.2019 bei Dr. römisch 40 im Bezug auf die ersten Überweisungen (Beilagen ./B und ./C) sowie eine telefonische Nachforderung verbunden mit einer weiteren schriftlichen Überweisung (Beilage ./A) geklärt werden. 3.
36. Die Feststellungen zur generellen Vorgangsweise der BF sowie zur chronologischen Übernahme der Aufträge im Einzelnen folgen den Angaben von Dr. XXXX im Zusammenhalt mit den von ihr vorgelegten und im einzelnen genannten Urkunden, die insbesondere die Tage und Zeiten der Einpflege in das EDV-System der BF ausweisen. Der Umstand, dass die BF den Auftrag „Befund und Rechnung an Patient, Kopie an Ordination erbeten“ in der Überweisung Beilage ./A als Änderung für den gesamten Auftrag interpretierte, beruhen auf den diesbezüglich klaren Angaben von Dr. XXXX (S 12 „…mit der Zuweisung Beilage ./A hat sie das wieder aufgehoben“). 3.
37. Die Feststellungen zur generellen Vorgangsweise der BF sowie zur chronologischen Übernahme der Aufträge im Einzelnen folgen den Angaben von Dr. römisch 40 im Zusammenhalt mit den von ihr vorgelegten und im einzelnen genannten Urkunden, die insbesondere die Tage und Zeiten der Einpflege in das EDV-System der BF ausweisen. Der Umstand, dass die BF den Auftrag „Befund und Rechnung an Patient, Kopie an Ordination erbeten“ in der Überweisung Beilage ./A als Änderung für den gesamten Auftrag interpretierte, beruhen auf den diesbezüglich klaren Angaben von Dr. römisch 40 (S 12 „…mit der Zuweisung Beilage ./A hat sie das wieder aufgehoben“). 3.
38. Auch die Umstände des Ergänzungsauftrages betreffend Langzeitzucker sowie HIV am 01.07.2019 wurden durch die Angaben von Dr. XXXX nachvollziehbar geklärt. 3.
39. Auch die Umstände des Ergänzungsauftrages betreffend Langzeitzucker sowie HIV am 01.07.2019 wurden durch die Angaben von Dr. römisch 40 nachvollziehbar geklärt. 3.
40. Die postalischen Versendungszeitpunkte beider Befunde an den MB, jener vom 26.06.2019 am 28.06.2019 und jener vom 01.07.2019 am 02.07.2019, wurden von der BF nachvollziehbar und ohne entgegenstehende Beweisergebnisse insbesondere bereits in der Meldung an die DSB Beilage ./1 angegeben. 3.
41. Die Feststellungen betreffend das in Beilage ./5 indirekt dokumentierte Telefonat am 01.07.2019 beruhen auf den Angaben des MB im Zusammenhalt mit jenen der Zeugin XXXX . Es ist nachvollziehbar, dass der MB, als er bei der Befundabholung bei Dr. XXXX (dieser wurden die Befunde zunächst gefaxt) von der Evidenz der alten Adresse erfuhr, diesbezüglich bei der BF anrief, um eine Adressänderung bekanntzugeben. Dass das Telefonat zunächst bei der Vermittlung einging, folgt bereits der von der Zeugin angegebenen Tatsache, dass die Durchwahl der Verrechnungsabteilung auf der Homepage nicht ersichtlich sei. Die mehrfachen Angaben des MB, dass sein Anliegen allgemein auf Bekanntgabe der neuen Adresse lautete (S 4), und nicht in Bezug auf Befunde gesetzt wurde, entspricht der Lebenserfahrung, waren gleichbleibend und glaubwürdig, weil auch der Intention des MB entsprechend. Es kamen keinerlei Anhaltspunkte dafür hervor, dass er im Rahmen dieses Telefonats, sei es bei der Vermittlung, sei es in der Verrechnungsabteilung, auf die strenge organisatorische Trennung zwischen den Abteilungen „Verrechnung“ und „Ärztebetreuung“ hingewiesen wurde. 3.
42. Die Feststellungen betreffend das in Beilage ./5 indirekt dokumentierte Telefonat am 01.07.2019 beruhen auf den Angaben des MB im Zusammenhalt mit jenen der Zeugin römisch 40 . Es ist nachvollziehbar, dass der MB, als er bei der Befundabholung bei Dr. römisch 40 (dieser wurden die Befunde zunächst gefaxt) von der Evidenz der alten Adresse erfuhr, diesbezüglich bei der BF anrief, um eine Adressänderung bekanntzugeben. Dass das Telefonat zunächst bei der Vermittlung einging, folgt bereits der von der Zeugin angegebenen Tatsache, dass die Durchwahl der Verrechnungsabteilung auf der Homepage nicht ersichtlich sei. Die mehrfachen Angaben des MB, dass sein Anliegen allgemein auf Bekanntgabe der neuen Adresse lautete (S 4), und nicht in Bezug auf Befunde gesetzt wurde, entspricht der Lebenserfahrung, waren gleichbleibend und glaubwürdig, weil auch der Intention des MB entsprechend. Es kamen keinerlei Anhaltspunkte dafür hervor, dass er im Rahmen dieses Telefonats, sei es bei der Vermittlung, sei es in der Verrechnungsabteilung, auf die strenge organisatorische Trennung zwischen den Abteilungen „Verrechnung“ und „Ärztebetreuung“ hingewiesen wurde. Insbesondere aus der Aussage der Zeugin XXXX geht auch hervor, dass sich diese weder im konkreten Fall daran erinnern konnte, dass die Thematik „Geltung der Adressänderung nur für Verrechnungszwecke oder auch für Befundzwecke“ ausdrücklich angesprochen wurde, noch, dass deren generelle Umgangsweise mit derartigen Adressänderungswünschen allgemein zu Nachfragen führt(e) („Nein, da bei uns im Normalfall sämtliche Befunde an die Ärzte gehen und nur sehr selten an Patienten“, Protokoll S 17). Aus diesen Angaben geht hinreichend hervor, dass es die Zeugin nicht für nötig erachtete, diesbezüglich nachzufragen. Insbesondere aus der Aussage der Zeugin römisch 40 geht auch hervor, dass sich diese weder im konkreten Fall daran erinnern konnte, dass die Thematik „Geltung der Adressänderung nur für Verrechnungszwecke oder auch für Befundzwecke“ ausdrücklich angesprochen wurde, noch, dass deren generelle Umgangsweise mit derartigen Adressänderungswünschen allgemein zu Nachfragen führt(e) („Nein, da bei uns im Normalfall sämtliche Befunde an die Ärzte gehen und nur sehr selten an Patienten“, Protokoll S 17). Aus diesen Angaben geht hinreichend hervor, dass es die Zeugin nicht für nötig erachtete, diesbezüglich nachzufragen. Auch dafür, dass bereits im Rahmen der Vermittlung ein Hinweis in Richtung dieser Unterscheidung bzw diesbezüglich unterschiedlicher Zuständigkeiten erfolgt wäre, gibt es keinerlei Hinweise. Die Angaben Dris. XXXX (S 13) blieben diesbezüglich allgemein und keineswegs dahingehend zu verstehen, dass eine klare Arbeitsanweisung dahingehend im Juni 2019 bestanden hätte, dass bei telefonisch herangetragenen Adressänderungswünschen generell nachgefragt würde, ob sich dieser Wunsch lediglich auf Honorarnoten oder auch auf Befunde bezieht. Dr. XXXX gab zwar im Laufe der Befragung an, wenn es nicht klar sei, werde der Anrufer gefragt. Schon die genannte Vorgangsweise (wenn es um beide Fragestellungen gehe, müssten beide Stellen nacheinander kontaktiert werden) deutet nicht darauf hin, dass diese (umständliche) Vorgangsweise generell und aktiv gepflegt wird. Dagegen spricht insbesondere auch die Darstellung der Zeugin XXXX . Auch dafür, dass bereits im Rahmen der Vermittlung ein Hinweis in Richtung dieser Unterscheidung bzw diesbezüglich unterschiedlicher Zuständigkeiten erfolgt wäre, gibt es keinerlei Hinweise. Die Angaben Dris. römisch 40 (S 13) blieben diesbezüglich allgemein und keineswegs dahingehend zu verstehen, dass eine klare Arbeitsanweisung dahingehend im Juni 2019 bestanden hätte, dass bei telefonisch herangetragenen Adressänderungswünschen generell nachgefragt würde, ob sich dieser Wunsch lediglich auf Honorarnoten oder auch auf Befunde bezieht. Dr. römisch 40 gab zwar im Laufe der Befragung an, wenn es nicht klar sei, werde der Anrufer gefragt. Schon die genannte Vorgangsweise (wenn es um beide Fragestellungen gehe, müssten beide Stellen nacheinander kontaktiert werden) deutet nicht darauf hin, dass diese (umständliche) Vorgangsweise generell und aktiv gepflegt wird. Dagegen spricht insbesondere auch die Darstellung der Zeugin römisch 40 . Rechtlich folgt: 4.1.1.

Art. 9Abs.

1 DSGVO ist die Verarbeitung unter anderem personenbezogener Gesundheitsdaten einer natürlichen Person untersagt, wobei in Abs. 2 Ausnahmen statuiert sind, unter anderem bei ausdrücklicher Einwilligung (lit. a) sowie aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (lit. i). 4.1.1.

Artikel 9

, Absatz eins, DSGVO ist die Verarbeitung unter anderem personenbezogener Gesundheitsdaten einer natürlichen Person untersagt, wobei in Absatz 2, Ausnahmen statuiert sind, unter anderem bei ausdrücklicher Einwilligung (Litera a,) sowie aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Litera i,).

Art 5Abs 1 müssen personenbezogene Daten

Gemäß Artikel 5, Absatz eins, müssen personenbezogene Daten

1. a)auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
2. b)für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

den jeweiligen Zuweisungen zuzustellen gewesen wären, weil – nachvollziehbar üblich“ die Zuweisungen aufgrund einer Blutabnahme grundsätzlich einen Auftrag bilden und darüber ein „Gesamtbefund“ erging, der sodann

der zuletzt erfolgten Zustellverfügung zugestellt wurde. Lediglich aufgrund der Nachforderung betreffend Hepathitis A + B am 01.07.2019 erfolgte (da der Sammelbefund bereits zuvor verschickt wurde) ein weiterer Befund. Eine Rechtswidrigkeit in der Vorgangsweise der BF, den Sammelbefund

der zuletzt verfügten Zustellmodalität zuzustellen, vermag der erkennende Senat nicht zu erkennen. 4.2.

1. Zum Vorhalt der mangelhaften Beweiswürdigung: Zusammengefasst bemängelt die BF die Beweiswürdigung der belangten Behörde, in der von „unstrittigen Angaben der Parteien“ ausgegangen wird. Wie bereits in der Beweiswürdigung dargestellt, griff der erkennende Senat diese Beweisrüge auf und nahm diese zum Anlass, im Rahmen einer mündlichen Verhandlung die tatsächlichen Umstände durch Vernehmung der Parteien und der betreffend das Telefonat angebotenen Zeugin zu erhellen. Allerdings führen die im Rahmen des ergänzenden Verfahrens gewonnen Erkenntnisse zu keiner wesentlichen neuen Beurteilung des nunmehr detaillierter festgestellten Sachverhaltes, wobei lediglich im Sinne einer Maßgabeentscheidung der Spruch präziser zu fassen war. Wenn die BF ausführt, der MB sei von der Telefonzentrale an die zuständige Stelle für den Versand der Honorarnoten weitergeleitet worden, „weil dieser ausschließlich die Richtigstellung der Zustelladresse bei der Telefonzentrale als Grund des Anrufs genannt habe“, ist schon aus diesen Ausführungen kein näherer Anhaltspunkt dafür erkennbar, dass seitens der BF eine Klärung herbeigeführt wurde, auf welche Umstände sich die gewünschte Adressänderung bezieht bzw. dass dem MB diesbezügliche Handlungsanleitungen gegeben wurden. Wenn die BF zu Punkt 5.
2. ausführt, der MB habe die Änderung der Zustelladresse für Honorarnoten im Blick gehabt und den entsprechenden Wunsch gegenüber der BF formuliert, ist sie darauf zu verweisen, dass sich diese Umstände im Beweisverfahren nicht ergaben (siehe oben 3.7.). Dass dem MB die Zustellung der Befunde an seine aktuelle Adresse wichtig war, ergibt sich bereits aus seinem Verfahrensstandpunkt. Im Falle einer Handlungsanleitung (Adressänderungen für Honorarzwecke und für Befundzwecke sind getrennt unter unterschiedlichen Formalitäten zu beantragen) wäre der MB jedenfalls in der Lage gewesen, die entsprechenden erforderlichen Schritte zu einer Adressberichtigung auch für die Befundzustellung zu setzen. 4.2.
3. Zur Rechtsrüge: Zunächst ist auszuführen, dass aufgrund der verbreiterten Entscheidungsgrundlage der nunmehrigen Feststellungen zu entscheiden war. Da, wie festgestellt, eine Adressänderung seitens des MB erst am 01.07.2019 der BF gegenüber bekannt gegeben wurde, kann dieser aus der Versendung des Befundes vom 26.08.2019 mit Expedit am 28.06.2019 an die in der Überweisung (Beilage ./A) genannte Adresse XXXX BF kein Vorwurf im Sinne einer Verarbeitung unrichtiger Daten gemacht werden. Da, wie festgestellt, eine Adressänderung seitens des MB erst am 01.07.2019 der BF gegenüber bekannt gegeben wurde, kann dieser aus der Versendung des Befundes vom 26.08.2019 mit Expedit am 28.06.2019 an die in der Überweisung (Beilage ./A) genannte Adresse römisch 40 BF kein Vorwurf im Sinne einer Verarbeitung unrichtiger Daten gemacht werden. Anderes gilt für die Übersendung des ergänzenden Befundes vom 01.07.2019 mit Expedit 02.07.2019: Evident handelt es sich bei Blutbefunden um Gesundheitsdaten und somit besonders sensible Daten. Diesem Umfang will offenbar die Organisationsgestaltung der BF bereits dadurch Rechnung tragen, als sie eine EDV-mäßige Trennung der Verrechnung und der Befundgestion vornimmt. Bei Bekanntgaben von Adressänderungen durch Patienten handelt es sich im Hinblick auf die Größe des Unternehmens der BF wohl um gängige Anfragen bzw. Anliegen. Dass sich Anliegen betreffend Adressänderung potentiell sowohl auf die Befunde als auch auf Honorarnoten beziehen können, liegt in der Natur der Sache. Keineswegs kann generell, wie von der Zeugin ausgeführt, davon ausgegangen werden, dass „in der Regel Befundzustellungen immer an Ärzte“ zu erfolgen haben. Wie festgestellt, gab der MB gegenüber der Telefonvermittlung der BF lediglich zu verstehen, dass er „eine Adressänderung“ bekanntgeben wolle. Nach den Feststellungen wurde er ohne diesbezüglich ausdrücklichen Hinweis auf die unterschiedliche Handhabung betreffend Befund- und Honorarnoten an die Verrechnungsabteilung verwiesen, die ihrerseits dem Anliegen des MB (für ihren Zuständigkeitsbereich) Rechnung trug, aber keine weiteren Hinweise gab, dass sich diese Adressänderung lediglich auf Honorarnoten beschränkt. Der erkennende Senat geht davon aus, dass es Sache der BF als (großes) Unternehmen im Bereich der medizinischen und chemischen Labordiagnostik gelegen gewesen wäre, den MB bei seinem insofern unbestimmten telefonischen Anliegen zumindest darauf hinzuweisen, dass Adressänderungen betreffend Honorarnoten und Befunde unterschiedlich gehandhabt werden und im Fall gewünschter Adressänderungen für Befundzustellungen weitere Schritte bzw. Formalitäten zu setzen seien. Da dies die BF unterlassen hat bzw. diesbezüglich keinen Nachweis erbringen konnte, muss der Umstand, dass noch am der telefonischen Benachrichtigung folgenden Tag ein Befund an eine insofern nicht der gewünschten Adressänderung entsprechende Adresse versandt wurde, als Geheimhaltungspflichtverletzung im Sinne einer Verletzung des Grundsatzes der Datenrichtigkeit qualifiziert werden, wobei sich dieser Umstand in weiterer Folge durch Öffnung durch eine offenbar unbefugte Person manifestierte. Auf die Beurteilung als Geheimhaltungsverletzung durch die BF kommt es dabei auf den letztgenannten Umstand allerdings gar nicht an. Bei der vorgenommenen Beurteilung als Pflichtverletzung wurde insoferne auch eine Abwägung vorgenommen, als im Falle der aktiven allgemeinen Bekanntgabe einer Adressänderung durch einen Kunden ein großes Risiko besteht, dass durch eine Zustellung auch von Befunden an eine nicht aktuelle Adresse sensible Daten an unbefugte Personen gelangen, anderseits eine entsprechende Hinweisgebung bzw Belehrung durch typischerweise mit derartigen Anliegen befasste Einheiten des Verantwortlichen, hier die Telefonzentrale bzw die Verrechnungsabteilung, im Verhältnis zu diesem Risiko keinen unverhältnismäßigen Aufwand bedeuten. Solche Hinweise bzw Belehrungen sind hier nach den Feststellungen durch die Mitarbeiter der BF gegenüber dem MB nicht erfolgt. Da die Versendung erst am nächsten Tag erfolgt ist, könnte sich die BF auch nicht auf eine zu geringe Manipulationszeit berufen. Nicht überzeugend ist es, wenn die BF zu Pkt. 6.
4. offenbar zum Ausdruck bringen will, dass das Versenden eines Schreibens keine Geheimhaltungsverletzung bewirken konnte, zumal das Versenden von Daten unzweifelhaft eine Datenverarbeitung iSd DSGVO darstellt. Wenn die BF in weiterer Folge meint, angemessene Datenschutzvorkehrungen dadurch gesetzt zu haben, dass ihre Mitarbeiter Änderungsanfragen nur durchführen dürften, wenn die entsprechende Anfrage persönlich unter Verwendung eines Lichtbildausweises gestellt werde und Mitarbeiter im Falle telefonischer Anfragen auf das Prozedere, persönlich vorstellig zu werden, eingeschult seien, ist zu entgegnen: Der MB wurde im Rahmen seiner Anfrage nach den Feststellungen in concreto gerade nicht darauf hingewiesen, dass sich sein nicht näher ausgeführtes Anliegen um Adressänderung lediglich auf Honorarnoten beziehe und im Falle zuzusendender Befunde ein weiteres Tätigwerden erforderlich wäre. Gerade dies wäre aber erforderlich gewesen, um den MB in die Lage zu versetzen, die Sicherheitsmaßnahmen der BF zu erfüllen. Der Umstand, dass das Briefgeheimnis mit § 118 StGB geschützt ist, kann keineswegs pauschal im Bezug auf Verletzungen des Rechts auf Geheimhaltung durch Übersendung von Poststücken an nicht taugliche Adressen exkulpieren.Der Umstand, dass das Briefgeheimnis mit Paragraph 118, StGB geschützt ist, kann keineswegs pauschal im Bezug auf Verletzungen des Rechts auf Geheimhaltung durch Übersendung von Poststücken an nicht taugliche Adressen exkulpieren. Sofern die BF in weiterer Folge die Uneindeutigkeit des Spruches bemängelt, wird sie auf die nunmehrige präzisere Fassung des Spruches im Sinne einer Maßgabeentscheidung verwiesen. Wenngleich der Bescheid und dessen Spruch nicht klar zwischen den beiden Versendungen vom 28.
5. einerseits und vom 2.
6. andererseits differenziert, brachte er doch zum Ausdruck, eine Datenschutzverletzung aufgrund „mindestsens einer der Versendungen“ anzunehmen. Die Präzisierung, welche der Versendungen als Datenschutzverletzungen zu qualifizieren ist, rechtfertigt aus Sicht des erkennenden Senats die im Spruch getroffene Maßgabeentscheidung. Wenn im Rahmen der Zusammenfassung zu Punkt 8.
7. neuerlich ausgeführt wird, der BF sei es durch die Kontaktaufnahme des MB nicht möglich gewesen, zu erkennen, dass auch eine Änderung der Zustellanschrift für Befunde gewünscht sei, so ist neuerlich darauf zu verweisen, dass der herangetragene Wunsch einer Adressänderung ganz generell wohl alle potentiell zuzusendenden Schriftstücke betrifft und es Sache der BF gewesen wäre, im Falle einer nicht ausdrücklich spezifizierten Angabe (von einer solchen ist aufgrund der Feststellungen nicht auszugehen) der Anrufer diesbezüglich aufzuklären gewesen wäre. 4.2.
8. Ergebnis: Der Beschwerde kommt daher – unter Hinweis auf den klarer zu fassenden Spruch – im Ergebnis keine Berechtigung zu. 4.
9. Der Ausspruch der Unzulässigkeit der Revision beruht auf dem Umstand, dass aufgrund der dargestellten gesetzlichen Bestimmungen Einzelfallumstände zu klären waren. European Case Law IdentifierECLI:AT:BVWG:2023:W274.2239587.1.00