RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum30.01.2017 GeschäftszahlDSB-D213.470/0002-DSB/2017 Anfechtung beim BVwG/VwGH/VfGHDiese Empfehlung wird nicht rechtskräftig und ka

§ 6Abs.

1 Z 1 DSG 2000 dürfen Daten nur nach Treu und Glauben und auf rechtmäßige Weise verwendet werden. 2.

Paragraph 6, Absatz eins, Ziffer eins, DSG 2000 dürfen Daten nur nach Treu und Glauben und auf rechtmäßige Weise verwendet werden.

§ 6Abs.

1 Z 2 DSG 2000 dürfen Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.

Paragraph 6, Absatz eins, Ziffer 2, DSG 2000 dürfen Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.

§ 6Abs.

1 Z 3 DSG 2000 dürfen Daten nur soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen.

Paragraph 6, Absatz eins, Ziffer 3, DSG 2000 dürfen Daten nur soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen.

§ 6Abs.

2 DSG 2000 trägt der Auftraggeber bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Abs. 1 genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht.

Paragraph 6, Absatz 2, DSG 2000 trägt der Auftraggeber bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Absatz eins, genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht.

1. Aufgrund des oben angeführten Sachverhaltes steht fest, dass die X*** zwar Zugriffe ordnungsgemäß protokolliert. Jedoch findet eine Überprüfung der durchgeführten Zugriffe hinsichtlich deren Rechtmäßigkeit nur in Verdachtsfällen statt. Durch diese Kontrolle wird aber nicht sichergestellt, dass besonders schützenswerte Personengruppen (wie insbesondere eigene Bedienstete oder deren Angehörige bzw. öffentlich bekannte Personen), die sich einer Behandlung unterziehen (müssen), vor unberechtigten Zugriffen geschützt sind. Überprüfungen in anderen Krankenanstalten durch die Datenschutzbehörde haben ergeben, dass effektive die Zugriffskontrollen auf verschiedene Arten ausgeführt werden können (vgl. dazu bspw. die Empfehlungen vom
2. Mai 2015, GZ DSB-D213.397/0005-DSB/2016, GZ DSB-D213.395/0003-DSB/2016 sowie jene vom
3. Mai 2016, GZ DSB-D213.398/0003-DSB/2016, abrufbar im RIS). Überprüfungen in anderen Krankenanstalten durch die Datenschutzbehörde haben ergeben, dass effektive die Zugriffskontrollen auf verschiedene Arten ausgeführt werden können vergleiche dazu bspw. die Empfehlungen vom
4. Mai 2015, GZ DSB-D213.397/0005-DSB/2016, GZ DSB-D213.395/0003-DSB/2016 sowie jene vom
5. Mai 2016, GZ DSB-D213.398/0003-DSB/2016, abrufbar im RIS). Zur Hintanhaltung unberechtigter Zugriffe empfiehlt es sich, die Bediensteten der X*** auf die Durchführung nachprüfender Zugriffskontrollen nachweislich aufmerksam zu machen. III. Zur Implementierung einer Löschroutinerömisch drei. Zur Implementierung einer Löschroutine Wie unter I. dargelegt, dürfen Daten in personenbezogener Form nur zeitlich begrenzt aufbewahrt werden.Wie unter römisch eins. dargelegt, dürfen Daten in personenbezogener Form nur zeitlich begrenzt aufbewahrt werden. Die zulässige Aufbewahrungsdauer von Patientendaten bzw. von Protokolldaten richtet sich nach den einschlägigen Materiengesetzen. Zur Sicherstellung, dass diese Daten nach Ablauf der zulässigen Speicherdauer gelöscht werden bzw. der Personenbezug beseitigt wird, war diese Empfehlung auszusprechen. IV. Zur Einholung der Zustimmung für die „offene Protokollierung“ römisch vier. Zur Einholung der Zustimmung für die „offene Protokollierung“
6. Aufgrund des oben angeführten Sachverhaltes steht fest, dass Orbis-Benutzer im Rahmen der zugeteilten Berufsgruppenrolle und der dadurch erlangten Berechtigung auf die Protokolldaten „Ihrer“ Patienten zugreifen können. Da im Zuge dieser „offenen Protokollierung“ die Namen aller Mitarbeiter angezeigt werden, die ebenfalls Teil der Bearbeitungshistorie einer Patientenakte sind, sind somit schutzwürdige Geheimhaltungsinteressen dieser Mitarbeiter betroffen. Bei einer derartigen Verwendung nicht-sensibler Daten sind die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nur in den unter § 8 Abs. 1 DSG 2000 festgelegten Fällen nicht verletzt.
7. Aufgrund des oben angeführten Sachverhaltes steht fest, dass Orbis-Benutzer im Rahmen der zugeteilten Berufsgruppenrolle und der dadurch erlangten Berechtigung auf die Protokolldaten „Ihrer“ Patienten zugreifen können. Da im Zuge dieser „offenen Protokollierung“ die Namen aller Mitarbeiter angezeigt werden, die ebenfalls Teil der Bearbeitungshistorie einer Patientenakte sind, sind somit schutzwürdige Geheimhaltungsinteressen dieser Mitarbeiter betroffen. Bei einer derartigen Verwendung nicht-sensibler Daten sind die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nur in den unter Paragraph 8, Absatz eins, DSG 2000 festgelegten Fällen nicht verletzt.
8. Um Sicherzustellen, dass es zu keiner Verletzung der schutzwürdigen Geheimhaltungsinteressen bei Verwendung von Protokolldaten kommt, ist daher im Rahmen der Betriebsvereinbarung die Zustimmung der Betroffenen gem. § 8 Abs. 1 Z 2 DSG 2000 einzuholen.
9. Um Sicherzustellen, dass es zu keiner Verletzung der schutzwürdigen Geheimhaltungsinteressen bei Verwendung von Protokolldaten kommt, ist daher im Rahmen der Betriebsvereinbarung die Zustimmung der Betroffenen gem. Paragraph 8, Absatz eins, Ziffer 2, DSG 2000 einzuholen. V. Zusammenfassungrömisch fünf. Zusammenfassung Es war folglich

§ 30Abs.

6 DSG 2000 zur Herstellung des rechtmäßigen Zustandes die obige Empfehlung zu erteilen. Eine Frist von sechs Monaten scheint für die Umsetzung dieser Empfehlung angemessen.Es war folglich

Paragraph 30, Absatz 6, DSG 2000 zur Herstellung des rechtmäßigen Zustandes die obige Empfehlung zu erteilen. Eine Frist von sechs Monaten scheint für die Umsetzung dieser Empfehlung angemessen. European Case Law IdentifierECLI:AT:DSB:2017:DSB.D213.470.0002.DSB.2017