RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum23.05.2016 GeschäftszahlDSB-D210.783/0004-DSB/2016 Anfechtung beim BVwG/VwGH/VfGHDiese Empfehlung wird nicht rechtskräftig und ka

§ 6Abs.

1 Z 1 DSG 2000 dürfen Daten nur nach Treu und Glauben und auf rechtmäßige Weise verwendet werden. 2.2.

Paragraph 6, Absatz eins, Ziffer eins, DSG 2000 dürfen Daten nur nach Treu und Glauben und auf rechtmäßige Weise verwendet werden.

§ 6Abs.

1 Z 2 DSG 2000 dürfen Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.

Paragraph 6, Absatz eins, Ziffer 2, DSG 2000 dürfen Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.

§ 6Abs.

1 Z 3 DSG 2000 dürfen Daten nur soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen.

Paragraph 6, Absatz eins, Ziffer 3, DSG 2000 dürfen Daten nur soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen.

§ 6Abs.

2 DSG 2000 trägt der Auftraggeber bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Abs. 1 genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht.

Paragraph 6, Absatz 2, DSG 2000 trägt der Auftraggeber bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Absatz eins, genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht. 2.

1. Aufgrund des oben angeführten Sachverhaltes steht fest, dass der Gemeindeverband Bezirkskrankenhaus X** zwar Zugriffe ordnungsgemäß protokolliert und diese auch aussagekräftig sind. Jedoch kann eine lediglich ein- bis zweimal pro Monat durchgeführte Zugriffskontrolle hinsichtlich der Zugriffe auf lediglich einen per Zufall ausgewählten Patienten nicht aus ausreichend angesehen werden. Durch diese Kontrolle wird auch nicht sichergestellt, dass besonders schützenswerte Personengruppen (wie eigene Bedienstet oder deren Angehörige bzw. öffentlich bekannte Personen), die sich einer Behandlung unterziehen (müssen), vor unberechtigten Zugriffen geschützt sind. Überprüfungen in anderen Krankenanstalten durch die Datenschutzbehörde haben ergeben, dass effektive die Zugriffskontrollen auf verschiedene Arten ausgeführt werden können (vgl. dazu bspw. die Empfehlungen vom
2. Mai 2016 [Anmerkung Bearbeiter: im Original in Folge eines offenkundigen Versehens „2015“], GZ DSB-D213.397/0005-DSB/2016, GZ DSB-D213.395/0003-DSB/2016 sowie jene vom
3. Mai 2016, GZ DSB-D213.398/0003-DSB/2016, demnächst abrufbar im RIS). Überprüfungen in anderen Krankenanstalten durch die Datenschutzbehörde haben ergeben, dass effektive die Zugriffskontrollen auf verschiedene Arten ausgeführt werden können vergleiche dazu bspw. die Empfehlungen vom
4. Mai 2016 [Anmerkung Bearbeiter: im Original in Folge eines offenkundigen Versehens „2015“], GZ DSB-D213.397/0005-DSB/2016, GZ DSB-D213.395/0003-DSB/2016 sowie jene vom
5. Mai 2016, GZ DSB-D213.398/0003-DSB/2016, demnächst abrufbar im RIS). Zur Hintanhaltung unberechtigter Zugriffe empfiehlt es sich, die Bediensteten des Bezirkskrankenhauses X*** auf die Durchführung nachprüfender Zugriffskontrollen nachweislich aufmerksam zu machen.
6. Zu Punkt 1 der gegenständlichen Empfehlung In Bezug auf die Nichtlöschung ehemaliger Nutzer ist folgendes festzuhalten: 3.
7. Die Datenschutzbehörde anerkennt, dass dies insofern erforderlich sein könnte, um auch nach dem Austritt eines Mitarbeiters nachvollziehen zu können, welche Handlungen der Nutzer im System gesetzt hat. Auch erscheint dies erforderlich, um Behandlungen von Patienten, die von einem Nutzer in das Patientenverwaltungssystem einzutragen sind, lückenlos zu dokumentieren und den Behandlungsverlauf somit nachweisbar darlegen zu können. 3.
8. Jedoch widerspricht eine zeitlich nicht befristete Speicherung personenbezogener Daten dem Grundsatz des § 6 Abs. 1 Z 5 DSG
9. 3.
10. Jedoch widerspricht eine zeitlich nicht befristete Speicherung personenbezogener Daten dem Grundsatz des Paragraph 6, Absatz eins, Ziffer 5, DSG
11. Auch der EGMR hat in seiner Rechtsprechung ausgesprochen, dass die unbegrenzte bzw. zeitlich nicht näher eingeschränkte Speicherung personenbezogener Daten eine Verletzung von Art. 8 EMRK darstellt (vgl. dazu bspw. das Urteil vom
12. April 2013, M.K. gg. Frankreich, Nr. 19522/09, Rz 35 f mwN). Auch wenn sich die zitierte Rechtsprechung auf strafrechtlich relevante Daten bezieht, so sind die darin dargelegten Grundsätze nach Ansicht der Datenschutzbehörde allgemein auf die Verwendung personenbezogener Daten anzuwenden. Auch der EGMR hat in seiner Rechtsprechung ausgesprochen, dass die unbegrenzte bzw. zeitlich nicht näher eingeschränkte Speicherung personenbezogener Daten eine Verletzung von Artikel 8, EMRK darstellt vergleiche dazu bspw. das Urteil vom
13. April 2013, M.K. gg. Frankreich, Nr. 19522/09, Rz 35 f mwN). Auch wenn sich die zitierte Rechtsprechung auf strafrechtlich relevante Daten bezieht, so sind die darin dargelegten Grundsätze nach Ansicht der Datenschutzbehörde allgemein auf die Verwendung personenbezogener Daten anzuwenden. 3.
14. Es ist somit Sache eines Auftraggebers eine Frist vorzusehen, die einerseits das Bedürfnis der Dokumentation der Handlungen ehemaliger Nutzer aber auch die Vorgabe der zeitlich begrenzten Speicherung personenbezogener Daten berücksichtigt, und nach deren Ablauf personenbezogene Daten ehemaliger Nutzer gelöscht werden (vgl. dazu nochmals die Empfehlung vom
15. Mai 2016, GZ DSB-D213.395/0003-DSB/2016). 3.
16. Es ist somit Sache eines Auftraggebers eine Frist vorzusehen, die einerseits das Bedürfnis der Dokumentation der Handlungen ehemaliger Nutzer aber auch die Vorgabe der zeitlich begrenzten Speicherung personenbezogener Daten berücksichtigt, und nach deren Ablauf personenbezogene Daten ehemaliger Nutzer gelöscht werden vergleiche dazu nochmals die Empfehlung vom
17. Mai 2016, GZ DSB-D213.395/0003-DSB/2016).
18. Zu Punkt 3 der gegenständlichen Empfehlung Es war folglich

§ 30Abs.

6 DSG 2000 zur Herstellung des rechtmäßigen Zustandes die obige Empfehlung auszusprechen. Eine Frist von sechs Monaten scheint zur Umsetzung dieser Empfehlung angemessen.Es war folglich

Paragraph 30, Absatz 6, DSG 2000 zur Herstellung des rechtmäßigen Zustandes die obige Empfehlung auszusprechen. Eine Frist von sechs Monaten scheint zur Umsetzung dieser Empfehlung angemessen. European Case Law IdentifierECLI:AT:DSB:2016:DSB.D210.783.0004.DSB.2016