RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum01.02.2017 GeschäftszahlDSB-D213.469/0006-DSB/2016 Anfechtung beim BVwG/VwGH/VfGHDiese Empfehlung wird nicht rechtskräftig und ka

§ 6Abs.

1 Z 1 DSG 2000 dürfen Daten nur nach Treu und Glauben und auf rechtmäßige Weise verwendet werden.

Paragraph 6, Absatz eins, Ziffer eins, DSG 2000 dürfen Daten nur nach Treu und Glauben und auf rechtmäßige Weise verwendet werden.

§ 6Abs.

1 Z 2 DSG 2000 dürfen Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.

Paragraph 6, Absatz eins, Ziffer 2, DSG 2000 dürfen Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.

§ 6Abs.

1 Z 3 DSG 2000 dürfen Daten nur soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen.

Paragraph 6, Absatz eins, Ziffer 3, DSG 2000 dürfen Daten nur soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen.

§ 6Abs.

2 DSG 2000 trägt der Auftraggeber bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Abs. 1 genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht.

Paragraph 6, Absatz 2, DSG 2000 trägt der Auftraggeber bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Absatz eins, genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht. Die E***- Kliniken sollte daher ergänzend ein System von routinemäßigen stichprobenartigen Kontrollen hinsichtlich möglich unberechtigter Zugriffe entwickeln um sicherzustellen, dass die Verwendung von Patientendaten auf rechtmäßige Weise im Sinne des § 6 Abs. 1 Z 1, Z 2 und Z 3 DSG 2000 erfolgt (siehe dazu auch die Empfehlung der Datenschutzbehörde vom

1. Mai 2016, GZ DSB-D210.783/0004-DSB/2016). Die E***- Kliniken sollte daher ergänzend ein System von routinemäßigen stichprobenartigen Kontrollen hinsichtlich möglich unberechtigter Zugriffe entwickeln um sicherzustellen, dass die Verwendung von Patientendaten auf rechtmäßige Weise im Sinne des Paragraph 6, Absatz eins, Ziffer eins,, Ziffer 2 und Ziffer 3, DSG 2000 erfolgt (siehe dazu auch die Empfehlung der Datenschutzbehörde vom
2. Mai 2016, GZ DSB-D210.783/0004-DSB/2016).
3. Aufgrund des festgestellten Sachverhaltes steht fest, dass KIS-Benutzer im Rahmen der zugeteilten Rolle und der dadurch erlangten Berechtigung auf die Protokolldaten „ihrer“ Patienten zugreifen können. Da im Zuge dieser „offenen Protokollierung“ die Namen aller Mitarbeiter angezeigt werden, die ebenfalls Teil der Bearbeitungshistorie einer Patientenakte sind, sind somit schutzwürdige Geheimhaltungsinteressen dieser Mitarbeiter betroffen. Bei einer derartigen Verwendung nicht-sensibler Daten sind die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nur in den unter § 8 Abs. 1 DSG 2000 festgelegten Fällen nicht verletzt.
4. Aufgrund des festgestellten Sachverhaltes steht fest, dass KIS-Benutzer im Rahmen der zugeteilten Rolle und der dadurch erlangten Berechtigung auf die Protokolldaten „ihrer“ Patienten zugreifen können. Da im Zuge dieser „offenen Protokollierung“ die Namen aller Mitarbeiter angezeigt werden, die ebenfalls Teil der Bearbeitungshistorie einer Patientenakte sind, sind somit schutzwürdige Geheimhaltungsinteressen dieser Mitarbeiter betroffen. Bei einer derartigen Verwendung nicht-sensibler Daten sind die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nur in den unter Paragraph 8, Absatz eins, DSG 2000 festgelegten Fällen nicht verletzt. Diese Praxis dient zwar einerseits in berücksichtigungswürdiger Weise der internen Kontrolle, bedarf aber andererseits als Eingriff in Geheimhaltungsinteressen der betroffenen Bediensteten einer stärkeren rechtlichen Absicherung. Um sicherzustellen, dass es zu keiner Verletzung der schutzwürdigen Geheimhaltungsinteressen bei Verwendung von Protokolldaten kommt, ist daher im Rahmen einer Betriebsvereinbarung die Zustimmung der Betroffenen gem. § 8 Abs. 1 Z 2 DSG 2000 einzuholen (siehe dazu auch die Empfehlung vom
5. Jänner 2017, GZ DSB-D213.470/0002-DSB/2017, noch nicht im RIS).Um sicherzustellen, dass es zu keiner Verletzung der schutzwürdigen Geheimhaltungsinteressen bei Verwendung von Protokolldaten kommt, ist daher im Rahmen einer Betriebsvereinbarung die Zustimmung der Betroffenen gem. Paragraph 8, Absatz eins, Ziffer 2, DSG 2000 einzuholen (siehe dazu auch die Empfehlung vom
6. Jänner 2017, GZ DSB-D213.470/0002-DSB/2017, noch nicht im RIS).
7. Zur Protokollierung der Auswertung der Videoüberwachung ist folgendes festzuhalten: Grundsätzlich hat die Datenschutzbehörde bei ihrer Einschau eine systematisch durchdachte, dem Gesamteindruck nach gesetzmäßig organisierte Videoüberwachung für Sicherheitszwecke vorgefunden. Die Führung einer Protokollierungsdatei über die Ergebnisse der Auswertung der Bilddaten im Anlassfall, in die auch Namen von Verdächtigen oder Opfern eines gefährlichen Angriffs eingetragen werden, bildet aber, je nach Betrachtungsweise, eine Erweiterung der gemeldeten DAN: 0*4*1*8/015 oder eine eigene Datenanwendung, unterliegt aber jedenfalls der Meldepflicht

§ 17Abs.

1 und § 18 Abs. 2 Z 2 DSG 2000 (Verwendung strafrechtlich relevanter Daten).Die Führung einer Protokollierungsdatei über die Ergebnisse der Auswertung der Bilddaten im Anlassfall, in die auch Namen von Verdächtigen oder Opfern eines gefährlichen Angriffs eingetragen werden, bildet aber, je nach Betrachtungsweise, eine Erweiterung der gemeldeten DAN: 0*4*1*8/015 oder eine eigene Datenanwendung, unterliegt aber jedenfalls der Meldepflicht

Paragraph 17, Absatz eins und Paragraph 18, Absatz 2, Ziffer 2, DSG 2000 (Verwendung strafrechtlich relevanter Daten). Eine entsprechende Meldung wird daher nachzuholen sein. 7. Es war folglich

§ 30Abs.

6 DSG 2000 zur Herstellung des rechtmäßigen Zustandes die obige Empfehlung zu erteilen. Eine Frist von drei bzw. sechs Monaten scheint für die Umsetzung dieser Empfehlung angemessen. 7. Es war folglich

Paragraph 30, Absatz 6, DSG 2000 zur Herstellung des rechtmäßigen Zustandes die obige Empfehlung zu erteilen. Eine Frist von drei bzw. sechs Monaten scheint für die Umsetzung dieser Empfehlung angemessen. European Case Law IdentifierECLI:AT:DSB:2017:DSB.D213.469.0006.DSB.2016