RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum16.11.2018 GeschäftszahlDSB-D213.692/0001-DSB/2018 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: DSB-D

Art. 13Abs.

1 lit. c und Art. 14 Abs. 1 lit. c DSGVO verstoßen.Indem die Verantwortliche es verabsäumt hat, in ihrer Datenschutzerklärung die einschlägigen Rechtsgrundlagen für die Verarbeitung besonderer Kategorien personenbezogener Daten anzuführen,

Artikel 13, Absatz eins, Litera c und Artikel 14, Absatz eins, Litera c, DSGVO verstoßen.

4.

1. Gemäß Art. 13 Abs. 1 lit. d sowie Art. 14 Abs. 2 lit. b DSGVO hat ein Verantwortlicher, wenn die Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO („Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten“) beruht, die berechtigten Interessen, die von dem Verantwortlichen oder dem Dritten verfolgt werden, anzuführen. 4.
2. Gemäß Artikel 13, Absatz eins, Litera d, sowie Artikel 14, Absatz 2, Litera b, DSGVO hat ein Verantwortlicher, wenn die Datenverarbeitung auf Artikel 6, Absatz eins, Litera f, DSGVO („Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten“) beruht, die berechtigten Interessen, die von dem Verantwortlichen oder dem Dritten verfolgt werden, anzuführen. Indem die Verantwortliche dieser Pflicht in ihrer Datenschutzerklärung nicht nachkommt, hat sie gegen die zitierten Bestimmungen der DSGVO verstoßen. Anzumerken ist, dass diese Rechtsgrundlage ausschließlich für die Verarbeitung von Daten, die nicht unter Art. 9 DSGVO fallen, herangezogen werden kann. Anzumerken ist, dass diese Rechtsgrundlage ausschließlich für die Verarbeitung von Daten, die nicht unter Artikel 9, DSGVO fallen, herangezogen werden kann. 4.
3. In der Datenschutzerklärung wird die Einwilligung als eine Rechtsgrundlage der Datenverarbeitung angeführt, ohne jedoch – wie von Art. 13 Abs. 2 lit. c bzw. Art. 14 Abs. 2 lit. d DSGVO gefordert – darauf hinzuweisen, dass ein Recht auf jederzeitigen Widerruf der Einwilligung besteht, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird.4.
4. In der Datenschutzerklärung wird die Einwilligung als eine Rechtsgrundlage der Datenverarbeitung angeführt, ohne jedoch – wie von Artikel 13, Absatz 2, Litera c, bzw. Artikel 14, Absatz 2, Litera d, DSGVO gefordert – darauf hinzuweisen, dass ein Recht auf jederzeitigen Widerruf der Einwilligung besteht, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird. Die Verantwortliche hat daher gegen die zitierten Bestimmungen verstoßen.
5. Zu Spruchpunkt 4 (Verstoß gegen die Pflicht zur Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist): Die Verantwortliche führt aus, dass die Datenverarbeitung, welche in ihrem Verarbeitungsverzeichnis unter II.B. „Patientenverwaltung“ firmiert, nicht einer „schriftlichen“ Datenschutz-Folgenabschätzung (DSFA) zu unterziehen gewesen wäre, da der Ausnahmetatbestand des § 1 iVm DSFA-A12 nach der Anlage zur DSFA-AV zutreffe.Die Verantwortliche führt aus, dass die Datenverarbeitung, welche in ihrem Verarbeitungsverzeichnis unter römisch zwei.B. „Patientenverwaltung“ firmiert, nicht einer „schriftlichen“ Datenschutz-Folgenabschätzung (DSFA) zu unterziehen gewesen wäre, da der Ausnahmetatbestand des Paragraph eins, in Verbindung mit DSFA-A12 nach der Anlage zur DSFA-AV zutreffe. Dazu ist auszuführen, dass die Verantwortliche schon aus den erläuternden Bemerkungen (abrufbar auf der Website der Datenschutzbehörde) hätte feststellen müssen, dass die Patientenverwaltung – begrenzt auf den Gegenstand der Verwaltung der Datensätze, die üblicher Weise auch bei einer Kundenverwaltung anfallen – nur dann nicht einer DSFA zu unterziehen ist, wenn sie von einem einzelnen Arzt geführt wird. Für die Verarbeitungstätigkeiten  Patientenakten (Adress-, Rechnungs- und Meldedaten)  Abrechnung (Abrechnung mit der Sozialversicherung)  Befundanforderung/Befundübermittlung (Übermittlung und Offenlegung),  Untersuchung von Proben (Untersuchung und Versand von Proben [Blut, Sekret etc.]),  Verwaltung von Rezepten (Speicherung, welche Rezepte Patienten benötigen),  Hausapotheke (Betrieb, Verwaltung, Abrechnung und Organisation der Hausapotheke), werden sämtliche der Verantwortlichen bekannten Gesundheitsdaten verwaltet, offengelegt und übermittelt. Somit geht schon aus dem Wortlaut des Art. 35 Abs. 2 lit. b DSGVO klar hervor, dass in diesen Fällen die Prüfung der Notwendigkeit einer DSFA erforderlich gewesen wäre. werden sämtliche der Verantwortlichen bekannten Gesundheitsdaten verwaltet, offengelegt und übermittelt. Somit geht schon aus dem Wortlaut des Artikel 35, Absatz 2, Litera b, DSGVO klar hervor, dass in diesen Fällen die Prüfung der Notwendigkeit einer DSFA erforderlich gewesen wäre. Nach § 2 Abs. 3 Z 1 DSFA-V unterliegt die umfangreiche Verarbeitung personenbezogener Daten gemäß Art. 9 DSGVO jedenfalls dann einer DSFA, wenn zusätzlich zumindest ein weiteres Kriterium nach Abs. 3 erfüllt ist (zur „umfangreichen Verarbeitung“ siehe nochmals die bereits oben zitierten Leitlinien zur Datenschutz-Folgenabschätzung). Nach Paragraph 2, Absatz 3, Ziffer eins, DSFA-V unterliegt die umfangreiche Verarbeitung personenbezogener Daten gemäß Artikel 9, DSGVO jedenfalls dann einer DSFA, wenn zusätzlich zumindest ein weiteres Kriterium nach Absatz 3, erfüllt ist (zur „umfangreichen Verarbeitung“ siehe nochmals die bereits oben zitierten Leitlinien zur Datenschutz-Folgenabschätzung). Dabei ist zu berücksichtigen, dass die DSFA-AV und die DSFA-V keine abschließenden Aufzählungen enthalten, sondern nur Verarbeitungsvorgänge anführen, die jedenfalls einer oder keiner DSFA unterliegen. Ist ein Verarbeitungsvorgang nicht durch eine der beiden Verordnungen gedeckt, so trifft den Verantwortlichen die Pflicht, im Einzelfall zu prüfen, ob eine DSFA erforderlich ist oder nicht. Als Hilfestellung können hiezu die bereits zitierten Leitlinien zur Datenschutz-Folgenabschätzung herangezogen werden. Es ist daher Aufgabe der Verantwortlichen, unter Zugrundelegung des oben Ausgeführten, zu prüfen, ob die hier genannten Datenverarbeitungen einer DSFA zu unterziehen sind oder nicht. Indem die Verantwortliche aber in unzutreffender Weise davon ausgegangen ist, dass sie jedenfalls keine DSFA durchzuführen hatte,

Art. 35DSGVO verstoßen.

Indem die Verantwortliche aber in unzutreffender Weise davon ausgegangen ist, dass sie jedenfalls keine DSFA durchzuführen hatte,

Artikel 35, DSGVO verstoßen.

6. Zum Leistungsauftrag (Spruchpunkt 5): Der Leistungsauftrag gründet sich auf Art. 58 Abs. 2 lit. d DSGVO. Eine Frist von acht Wochen scheint angemessen, um dem Leistungsauftrag zu entsprechen.Der Leistungsauftrag gründet sich auf Artikel 58, Absatz 2, Litera d, DSGVO. Eine Frist von acht Wochen scheint angemessen, um dem Leistungsauftrag zu entsprechen. European Case Law IdentifierECLI:AT:DSB:2018:DSB.D213.692.0001.DSB.2018