RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum04.06.2018 GeschäftszahlDSB-D122.831/0003-DSB/2018 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: DSB-D

§ 31Abs. 2 DSG 2000 (id

F BGBl. I Nr. 83/2013) vom 20. Dezember 2017 an die Datenschutzbehörde und führte darin aus, dass ohne dienstliche Notwendigkeit Zugriffe auf ihre Daten in ihrem elektronischen Gesundheitsakt stattgefunden hätten, die unberechtigt seien. Die Beschwerdeführerin, die Mitarbeiterin im Krankenhaus **** Wien, **** Institut, ist, wandte sich mit einer Eingabe betreffend Beschwerde

Paragraph 31, Absatz 2, DSG 2000 in der Fassung Bundesgesetzblatt Teil eins, Nr. 83 aus 2013,) vom

1. Dezember 2017 an die Datenschutzbehörde und führte darin aus, dass ohne dienstliche Notwendigkeit Zugriffe auf ihre Daten in ihrem elektronischen Gesundheitsakt stattgefunden hätten, die unberechtigt seien.
2. Die Datenschutzbehörde leitete aufgrund der Eingabe der Beschwerdeführerin ein Beschwerdeverfahren zur GZ D122.831 ein und forderte den Beschwerdegegner mit Schreiben vom
3. Jänner 2018 zur Stellungnahme auf.
4. Der Beschwerdegegner teilte mit Schreiben vom
5. Februar 2018 mit, dass nach Auswertung der Zugriffsprotokolle nicht plausible Zugriffe auf den elektronischen Gesundheitsakt der Beschwerdeführerin und in weiterer Folge deren Unzulässigkeit festgestellt wurden. Eine Befassung der Personalabteilung mit diesem Sachverhalt sei eingeleitet worden.
6. Die Datenschutzbehörde gewährte der Beschwerdeführerin mit Schreiben vom
7. Februar 2018 Parteiengehör.
8. Die Beschwerdeführerin hat innerhalb der Frist in diesem Verfahren nicht geantwortet. B. Beschwerdegegenstand Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner die Beschwerdeführerin dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem es unberechtigte Zugriffe auf ihren elektronischen Gesundheitsakt gab. C. Sachverhaltsfeststellungen
9. Die Beschwerdeführerin ist als Kanzleibedienstete der Gemeinde Wien im Krankenhaus **** Wien, **** Institut, beschäftigt.
10. Die Beschwerdeführerin ersuchte am
11. November 2017 per E-Mail an den Datenverantwortlichen des Krankenhauses **** Wien um Auskunft, wer ab dem Zeitraum 09/2015 auf ihre Daten zugegriffen habe:
12. Die Beschwerdeführerin ersuchte am
13. November 2017 per E-Mail an den Datenverantwortlichen des Krankenhauses **** Wien um Auskunft, wer ab dem Zeitraum 09 aus 2015, auf ihre Daten zugegriffen habe: [Anmerkung Bearbeiter: Der hier im Original als Faksimile wiedergegebene E-Mail-Schriftwechsel kann für Zwecke der Rechtsdokumentation nicht mit vertretbarem Aufwand pseudonymisiert wiedergegeben werden. Zusammengefasst ersuchte die Beschwerdeführerin unter Angabe von Identifikationsdaten (darunter Name, E-Mail-Adresse, Personalnummer und verwendete User-IDs) um Auskunft. Am
14. Dezember 2017 wurde die Beschwerdeführerin von einem Mitarbeiter des Krankenhauses **** um Mitwirkung ersucht und ihr gleichzeitig Auskunft erteilt. Konkret wurden in einer Tabelle ein Zugriff im Jahr 2016 und vier Zugriffe im Jahr 2017 auf Patientendaten der Beschwerdeführerin als scheinbar „nicht plausibel“ aufgelistet und die Beschwerdeführerin um ihre Einschätzung ersucht. Im Antwort-E-Mail vom selben Tag bezeichnete die Beschwerdeführerin nur einen der Zugriffe aus 2017 (Unter dem Stichwort „Notfallmedizin“) als plausibel.] Beweiswürdigung: Diese Feststellungen beruhen auf dem Vorbringen der Beschwerdeführerin vom
15. Dezember 2017 und den dortigen Beilagen, insbesondere der Beantwortung des Auskunftsersuchens durch den Beschwerdegegner am
16. Dezember 2017, sowie der Stellungnahme des Beschwerdegegners vom
17. Februar
18. D. In rechtlicher Hinsicht folgt daraus:
19. Allgemeines: Entsprechend der ab
20. Mai 2018 geltenden Rechtslage war das bisher nach § 31 Abs. 2 DSG 2000, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 83/2013, geführte Verfahren als Beschwerdeverfahren nach § 24 DSG, BGBl. I Nr. 165/1999 idgF, nach den Bestimmungen der DSG und der DSGVO fortzuführen (vgl. dazu § 69 Abs. 4 DSG). Entsprechend der ab
21. Mai 2018 geltenden Rechtslage war das bisher nach Paragraph 31, Absatz 2, DSG 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 83 aus 2013,, geführte Verfahren als Beschwerdeverfahren nach Paragraph 24, DSG, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, nach den Bestimmungen der DSG und der DSGVO fortzuführen vergleiche dazu Paragraph 69, Absatz 4, DSG).
22. Zur Zuständigkeit der Datenschutzbehörde:

Art. 57Abs.

1 lit. f DSGVO muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet sich mit Beschwerden einer betroffenen Person befassen.

Artikel 57

, Absatz eins, Litera f, DSGVO muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet sich mit Beschwerden einer betroffenen Person befassen.

§ 24Abs. 1 DSG idg

F hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

Paragraph 24, Absatz eins, DSG idgF hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2

1. Hauptstück verstößt. Die Beschwerdeführerin beschwert sich wegen einer Verletzung ihres Rechts auf Geheimhaltung sie betreffender personenbezogener Daten. Die Datenschutzbehörde ist daher zur Entscheidung zuständig.
2. Rechtzeitigkeit:

§ 24Abs.

4 DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt.

Paragraph 24, Absatz 4, DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Die Beschwerdeführerin hat durch die Auskunft vom 6. Dezember 2017 erstmalig von den unberechtigten Zugriffen Kenntnis erlangt. Selbst wenn man der Beschwerdeführerin Kenntnis vom beschwerenden Ereignis bereits mit 26. November 2017 unterstellen würde, wäre der Antrag (Beschwerde

§ 31Abs.

2 DSG 2000) vom

1. Dezember 2017 an die Datenschutzbehörde rechtzeitig. Die Beschwerdeführerin hat durch die Auskunft vom
2. Dezember 2017 erstmalig von den unberechtigten Zugriffen Kenntnis erlangt. Selbst wenn man der Beschwerdeführerin Kenntnis vom beschwerenden Ereignis bereits mit
3. November 2017 unterstellen würde, wäre der Antrag (Beschwerde

Paragraph 31, Absatz 2, DSG 2000) vom

1. Dezember 2017 an die Datenschutzbehörde rechtzeitig.
2. In der Sache: Aufgrund des festgestellten Sachverhaltes ist unstrittig, dass es zu den laut Abfrageprotokoll angeführten unberechtigten Zugriffen gekommen ist. Diese Zugriffe durch eine/n Mitarbeiter/in des Beschwerdegegners konnten durch den Beschwerdegegner nicht erklärt werden. Selbst vom Beschwerdegegner wurden diese Zugriffe als unzulässig bezeichnet. Es war daher die im Spruchpunkt lautende Feststellung zu treffen (vgl. dazu auch den Bescheid der ehemaligen Datenschutzkommission vom
3. Oktober 2013, GZ K121.990/0016-DSK/2013). Es war daher die im Spruchpunkt lautende Feststellung zu treffen vergleiche dazu auch den Bescheid der ehemaligen Datenschutzkommission vom
4. Oktober 2013, GZ K121.990/0016-DSK/2013). European Case Law IdentifierECLI:AT:DSB:2018:DSB.D122.831.0003.DSB.2018