← Österreich

{'item': '2020-0.385.423'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum29.06.2020 Geschäftszahl2020-0.385.423 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2020-0.385.423 vo

Art. 2Abs. 1 DSGVO] darstellt. Im Urteil vom 6. November 2003, C-101/01, hat der Eu

GH ausgesprochen, dass eine Handlung, die darin besteht, auf einer Internetseite auf verschiedene Personen hinzuweisen und diese entweder durch ihren Namen oder auf andere Weise, etwa durch Angabe ihrer Telefonnummer oder durch Informationen über ihr Arbeitsverhältnis oder ihre Freizeitbeschäftigungen, erkennbar zu machen, eine „ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten“ im Sinne von Artikel 3, Absatz eins, der Richtlinie 95/46 [

Artikel 2, Absatz eins, DSGVO] darstellt.

Bei den prüfgegenständlichen Inhalten, die auf der Facebook-Seite des Verantwortlichen veröffentlicht werden, handelt es sich Fotos/Screenshots von ärztlichen Aufzeichnungen, aus denen sich Daten zu Medikationen, medizinischen Diagnosen, Arztbesuchen, Arbeitsunfähigkeitsmeldungen, behandelndem Arzt etc. entnehmen lassen. Auch wenn im Zusammenhang mit diesen Daten nicht unmittelbar der Name von Patienten genannt wird bzw. ersichtlich ist, ändert dies nichts an der Qualifikation als personenbezogene Daten: Der EuGH hat in Bezug auf Art. 2 lit. a der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist er Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt“ (vgl. das Urteil des EuGH vom

  1. Dezember 2017, Rs Nowak, C-434/16).Der EuGH hat in Bezug auf Artikel 2, Litera a, der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist er Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt“ vergleiche das Urteil des EuGH vom
  2. Dezember 2017, Rs Nowak, C-434/16). Weiters hat der EuGH im Urteil vom
  3. Oktober 2016, C-582/14, in Rz 40 ff ausgesprochen, dass „aus dem Wortlaut von Art. 2 Buchst. a der Richtlinie 95/46 [

: Art. 4 Z 1 DSGVO] hervor[geht], dass nicht nur eine direkt identifizierbare, sondern auch eine indirekt identifizierbare Person als bestimmbar angesehen wird. „aus dem Wortlaut von Artikel 2, Buchst. a der Richtlinie 95/46 [

: Artikel 4, Ziffer eins, DSGVO] hervor[geht], dass nicht nur eine direkt identifizierbare, sondern auch eine indirekt identifizierbare Person als bestimmbar angesehen wird. Die Verwendung des Begriffs „indirekt“ durch den Unionsgesetzgeber deutet darauf hin, dass es für die Einstufung einer Information als personenbezogenes Datum nicht erforderlich ist, dass die Information für sich genommen die Identifizierung der betreffenden Person ermöglicht. Zudem heißt es im 26. Erwägungsgrund der Richtlinie 95/46 [

: ErwGr. 26 DSGVO], dass bei der Entscheidung, ob eine Person bestimmbar ist, alle Mittel berücksichtigt werden sollten, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen. Da dieser Erwägungsgrund auf die Mittel Bezug nimmt, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem „Dritten“ eingesetzt werden könnten, ist sein Wortlaut ein Indiz dafür, dass es für die Einstufung eines Datums als „personenbezogenes Datum“ im Sinne von Art. 2 Buchst. a der Richtlinie 95/46 [

: Art. 4 Z 1 DSGVO] nicht erforderlich ist, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden.“Da dieser Erwägungsgrund auf die Mittel Bezug nimmt, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem „Dritten“ eingesetzt werden könnten, ist sein Wortlaut ein Indiz dafür, dass es für die Einstufung eines Datums als „personenbezogenes Datum“ im Sinne von Artikel 2, Buchst. a der Richtlinie 95/46 [

: Artikel 4, Ziffer eins, DSGVO] nicht erforderlich ist, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden.“ Diese Überlegungen können auf die

ige Rechtslage nach der DSGVO umgelegt werden, da die Begriffsdefinition von „personenbezogene Daten“ gemäß Art. 2 lit. a der Richtlinie 95/46/EG sinngemäß in Art. 4 Z1 DSGVO übernommen wurde.Diese Überlegungen können auf die

ige Rechtslage nach der DSGVO umgelegt werden, da die Begriffsdefinition von „personenbezogene Daten“ gemäß Artikel 2, Litera a, der Richtlinie 95/46/EG sinngemäß in Artikel 4, Z1 DSGVO übernommen wurde. Informationen „über“ eine bestimmte Person liegen u.a. dann vor, wenn sich Daten auf die Situation einer Person beziehen (vgl. die Stellungnahme der Art.-29-Datenschutzgruppe 4/2007 zum Begriff „personenbezogene Daten“, WP 136, 01248/07/DE, S. 10).Informationen „über“ eine bestimmte Person liegen u.a. dann vor, wenn sich Daten auf die Situation einer Person beziehen vergleiche die Stellungnahme der "Art".-29-Datenschutzgruppe 4 aus 2007, zum Begriff „personenbezogene Daten“, WP 136, 01248/07/DE, S. 10). Davon ausgehend ist festzuhalten, dass es sich bei den veröffentlichen Inhalten um personenbezogene Daten iSd. Art. 4 Z 1 DSGVO handelt. Es ist – unter Zugrundelegung der o.a. Rechtsprechung des EuGH – nicht auszuschließen, dass Dritte mit vertretbarem Aufwand einen Personenbezug herstellen können, zumal die Daten durch die Veröffentlichung einem unbeschränkten Adressatenkreis bekannt werden.Davon ausgehend ist festzuhalten, dass es sich bei den veröffentlichen Inhalten um personenbezogene Daten iSd. Artikel 4, Ziffer eins, DSGVO handelt. Es ist – unter Zugrundelegung der o.a. Rechtsprechung des EuGH – nicht auszuschließen, dass Dritte mit vertretbarem Aufwand einen Personenbezug herstellen können, zumal die Daten durch die Veröffentlichung einem unbeschränkten Adressatenkreis bekannt werden. Abgesehen davon werden personenbezogene Daten schon deshalb verarbeitet, weil teilweise der Name des behandelnden/verschreibenden Arztes ersichtlich ist und somit dessen Daten offengelegt werden. Weiters gehen aus den veröffentlichten Fotos/Screenshots Informationen über den Gesundheitszustand von natürlichen Personen hervor, weshalb auch davon auszugehen ist, dass es sich um „Gesundheitsdaten“ iSd. Art. 4 Z 15 DSGVO handelt (vgl. dazu nochmals das Urteil vom 6. November 2003, wonach der Begriff „Daten über die Gesundheit“ iSd Art. 8 Abs. 1 der Richtlinie 95/46/EG –

Art. 9Abs.

1 DSGVO – weit auszulegen ist, sodass er sich auf alle Informationen bezieht, die die Gesundheit einer Person unter allen Aspekten - körperlichen wie psychischen – betreffen). Weiters gehen aus den veröffentlichten Fotos/Screenshots Informationen über den Gesundheitszustand von natürlichen Personen hervor, weshalb auch davon auszugehen ist, dass es sich um „Gesundheitsdaten“ iSd. Artikel 4, Ziffer 15, DSGVO handelt vergleiche dazu nochmals das Urteil vom 6. November 2003, wonach der Begriff „Daten über die Gesundheit“ iSd Artikel 8, Absatz eins, der Richtlinie 95/46/EG –

Artikel 9

, Absatz eins, DSGVO – weit auszulegen ist, sodass er sich auf alle Informationen bezieht, die die Gesundheit einer Person unter allen Aspekten - körperlichen wie psychischen – betreffen). Nach alledem steht fest, dass der Verantwortliche personenbezogene Daten, darunter auch Gesundheitsdaten, dadurch verarbeitet, indem er Ausschnitte aus medizinischen Dokumenten auf einer Website veröffentlicht. Dies selbst dann, wenn der Name der betroffenen Person nicht (immer) ersichtlich ist.

  1. Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten 4.
  2. Zur Verarbeitung von Gesundheitsdaten: Grundsätzlich gilt gemäß Art. 9 Abs. 1 DSGVO die Verarbeitung von Gesundheitsdaten als Verarbeitung besonderer Kategorien personenbezogener Daten („sensible Daten“). Die Verarbeitung dieser Daten ist untersagt, sofern die Verarbeitung nicht auf einen in Abs. 2 taxativ aufgezählten Eingriffstatbestand gestützt werden kann. Grundsätzlich gilt gemäß Artikel 9, Absatz eins, DSGVO die Verarbeitung von Gesundheitsdaten als Verarbeitung besonderer Kategorien personenbezogener Daten („sensible Daten“). Die Verarbeitung dieser Daten ist untersagt, sofern die Verarbeitung nicht auf einen in Absatz 2, taxativ aufgezählten Eingriffstatbestand gestützt werden kann. Zu prüfen ist daher, ob die prüfgegenständliche Datenverarbeitung auf einen der Ausnahmetatbestände gestützt werden kann. Der Verantwortliche gibt hierzu zusammengefasst an, dass Daten nur in Art und Umfang veröffentlicht würden, wie zur Nachverfolgung von Vorgängen im Dienste der Patientensicherheit für berechtigte Personen erforderlich seien. Patientensicherheit sei für jeden Behandler/Arzt der wesentlichste Fokus seines Handelns. Zum Schutz dieser höherwertigen Interessen der öffentlichen Gesundheitspflege und der Rechtspflege sei es manchmal auch notwendig, Kritik zu üben und Prozess-Verantwortliche bereichsübergreifend über Missstände zu informieren. Dafür stünden heute verschiedenste Plattformen zur Verfügung wie z.B. „CIRS-Medical“ u.v.m., um die notwendige zeitgemäße Transparenz- und Kommunikationskultur im medizinischen Bereich („Just Culture“) zu fördern. Ebenso sei dies auch über sog. „soziale Medien“ möglich, selbstverständlich unter Schutz der Privatsphäre der betroffenen Patienten. Die Datenschutzbehörde bestreitet nicht, dass die Patientensicherheit bzw. das Patientenwohl den wesentlichsten Fokus für Ärzte darstellt. Gleichzeitig kann es legitim sein, auf Missstände in der Patientenversorgung hinzuweisen. Jedoch ist dabei – wie der Verantwortliche selbst ausführt – die Privatsphäre der betroffenen Patienten zu schützen. Durch die Veröffentlichung von Fotos/Screenshots auf Facebook, die – wie bereits ausgeführt – personenbezogene Gesundheitsdaten enthalten, wird aber in eben jene Privatsphäre eingegriffen, die der Verantwortliche angibt schützen zu wollen. Das Vorbringen des Verantwortlichen ist damit schon in sich widersprüchlich. Der Verantwortliche übersieht in diesem Zusammenhang auch, dass eine Interessensabwägung gemäß Art. 6 Abs. 1 lit. f DSGVO bei der Verarbeitung von Gesundheitsdaten keine geeignete Rechtsgrundlage darstellt. Andere geeignete Rechtsgrundlagen iSd. Art. 9 Abs. 2 DSGVO sind für die Datenschutzbehörde nicht ersichtlich und wurden vom Verantwortlichen im Rahmen seiner Rechenschaftspflicht (vgl. Art. 5 Abs. 2 DSGVO) auch nicht vorgebracht. Die vorgelegte datenschutzrechtliche Dokumentation (Allgemeine Informationen, Datenverarbeitungsverzeichnis, Art. 32 DSGVO Maßnahmen, Auftragsverarbeiter) sowie die übrige Stellungnahme des Verantwortlichen beschränken sich auf allgemeine Ausführungen zu den Datenverarbeitungen des Verantwortlichen im Rahmen seiner Tätigkeit als Arzt.Der Verantwortliche übersieht in diesem Zusammenhang auch, dass eine Interessensabwägung gemäß Artikel 6, Absatz eins, Litera f, DSGVO bei der Verarbeitung von Gesundheitsdaten keine geeignete Rechtsgrundlage darstellt. Andere geeignete Rechtsgrundlagen iSd. Artikel 9, Absatz 2, DSGVO sind für die Datenschutzbehörde nicht ersichtlich und wurden vom Verantwortlichen im Rahmen seiner Rechenschaftspflicht vergleiche Artikel 5, Absatz 2, DSGVO) auch nicht vorgebracht. Die vorgelegte datenschutzrechtliche Dokumentation (Allgemeine Informationen, Datenverarbeitungsverzeichnis, Artikel 32, DSGVO Maßnahmen, Auftragsverarbeiter) sowie die übrige Stellungnahme des Verantwortlichen beschränken sich auf allgemeine Ausführungen zu den Datenverarbeitungen des Verantwortlichen im Rahmen seiner Tätigkeit als Arzt. Zu prüfen ist noch, ob die Veröffentlichungen vom Recht auf freie Meinungsäußerung nach Art. 11 EU-GRC gedeckt sind.Zu prüfen ist noch, ob die Veröffentlichungen vom Recht auf freie Meinungsäußerung nach Artikel 11, EU-GRC gedeckt sind. Das Recht auf freie Meinungsäußerung ist im Kollisionsfall gegen das Recht auf den Schutz personenbezogener Daten nach Art. 8 EU-GRC abzuwägen (vgl. dazu den Bescheid vom
  3. Dezember 2019, GZ DSB-D123.768/0004-DSB/2019 mwN).Das Recht auf freie Meinungsäußerung ist im Kollisionsfall gegen das Recht auf den Schutz personenbezogener Daten nach Artikel 8, EU-GRC abzuwägen vergleiche dazu den Bescheid vom
  4. Dezember 2019, GZ DSB-D123.768/0004-DSB/2019 mwN). Im vorliegenden Fall erachtet sich die Datenschutzbehörde zur Behandlung als zuständig, weil die Ausnahme nach § 9 Abs. 1 DSG keine Anwendung findet (vgl. iHa auf Facebook-Postings nochmals den Bescheid vom
  5. Dezember 2019 a.a.O.).Im vorliegenden Fall erachtet sich die Datenschutzbehörde zur Behandlung als zuständig, weil die Ausnahme nach Paragraph 9, Absatz eins, DSG keine Anwendung findet vergleiche iHa auf Facebook-Postings nochmals den Bescheid vom
  6. Dezember 2019 a.a.O.). Soweit es um Gesundheitsdaten geht, misst der OGH diesen einen besonderen Stellwert bei und erachtet sie als dem „höchstpersönlichen Lebensbereich“ zugehörig, was eine Veröffentlichung regelmäßig ausschließt (RS0124514), weil dies einer Bloßstellung gleichkommt (vgl. dazu den Beschluss vom
  7. Dezember 2008, GZ 11 Os 144/07x mwN). Soweit es um Gesundheitsdaten geht, misst der OGH diesen einen besonderen Stellwert bei und erachtet sie als dem „höchstpersönlichen Lebensbereich“ zugehörig, was eine Veröffentlichung regelmäßig ausschließt (RS0124514), weil dies einer Bloßstellung gleichkommt vergleiche dazu den Beschluss vom
  8. Dezember 2008, GZ 11 Os 144/07x mwN). Dies deshalb, „weil sensible Informationen vor einer nicht eingrenzbaren und beherrschbaren Öffentlichkeit ausgebreitet werden. In solchen Fällen wirkt also bereits die mediale Indiskretion als solche bloßstellend und braucht eine weitere nachteilige Auswirkung nicht besonders nachgewiesen werden. Im darüberhinausgehenden Bereich sind bei Prüfung der Bloßstellungseignung nach Art eines beweglichen Systems auch Begleitumstände und Auswirkungen einer Veröffentlichung mit in Betracht zu ziehen, sodass ein geringerer Grad an berührter Privatheit durch eine besonders beeinträchtigende Form der Darstellung aufgewogen werden kann. Ob diesfalls eine Missachtung des Privatlebens vorliegt, richtet sich somit einerseits nach der Privatheit des betroffenen Sachverhaltes und andererseits nach der Intensität des Eingriffs in formaler wie inhaltlicher Hinsicht (vgl. dazu nochmals den Beschluss vom
  9. Dezember 2008).Dies deshalb, „weil sensible Informationen vor einer nicht eingrenzbaren und beherrschbaren Öffentlichkeit ausgebreitet werden. In solchen Fällen wirkt also bereits die mediale Indiskretion als solche bloßstellend und braucht eine weitere nachteilige Auswirkung nicht besonders nachgewiesen werden. Im darüberhinausgehenden Bereich sind bei Prüfung der Bloßstellungseignung nach Art eines beweglichen Systems auch Begleitumstände und Auswirkungen einer Veröffentlichung mit in Betracht zu ziehen, sodass ein geringerer Grad an berührter Privatheit durch eine besonders beeinträchtigende Form der Darstellung aufgewogen werden kann. Ob diesfalls eine Missachtung des Privatlebens vorliegt, richtet sich somit einerseits nach der Privatheit des betroffenen Sachverhaltes und andererseits nach der Intensität des Eingriffs in formaler wie inhaltlicher Hinsicht vergleiche dazu nochmals den Beschluss vom
  10. Dezember 2008). Im vorliegenden Fall steht daher das Interesse des Verantwortlichen an der Bekanntmachung von Missständen dem Interesse der davon betroffenen Patienten, dass ihre Daten in diesem Zusammenhang nicht veröffentlicht werden, gegenüber. Aufgrund der hohen Schutzbedürftigkeit von Daten über die Gesundheit, die von der Rechtsprechung anerkannt ist, kann nicht davon ausgegangen werden, dass die Interessen des Verantwortlichen im vorliegenden Fall überwiegen, sodass Art. 11 EU-GRC nicht als Rechtsgrundlage für die gegenständlichen Veröffentlichungen herangezogen werden kann.Aufgrund der hohen Schutzbedürftigkeit von Daten über die Gesundheit, die von der Rechtsprechung anerkannt ist, kann nicht davon ausgegangen werden, dass die Interessen des Verantwortlichen im vorliegenden Fall überwiegen, sodass Artikel 11, EU-GRC nicht als Rechtsgrundlage für die gegenständlichen Veröffentlichungen herangezogen werden kann. 4.
  11. Zur Verarbeitung von sonstigen Daten: Wie festgestellt, werden – neben Daten über die Gesundheit – auch personenbezogene Daten iSd Art. 4 Z 1 DSGVO, wie bspw. die Namen von behandelnden bzw. eine Medikation verschreibenden Ärzten, veröffentlicht.Wie festgestellt, werden – neben Daten über die Gesundheit – auch personenbezogene Daten iSd Artikel 4, Ziffer eins, DSGVO, wie bspw. die Namen von behandelnden bzw. eine Medikation verschreibenden Ärzten, veröffentlicht. Hierbei handelt es sich zwar um personenbezogene Daten, nicht jedoch um Gesundheitsdaten nach Art. 4 Z 15 DSGVO.Hierbei handelt es sich zwar um personenbezogene Daten, nicht jedoch um Gesundheitsdaten nach Artikel 4, Ziffer 15, DSGVO. Die Frage, ob diese Daten rechtmäßig veröffentlicht wurden, richtet sich daher nach Art. 6 Abs. 1 DSGVO.Die Frage, ob diese Daten rechtmäßig veröffentlicht wurden, richtet sich daher nach Artikel 6, Absatz eins, DSGVO. Wie bereits ausgeführt, rechtfertigt der Verantwortliche die Veröffentlichungen damit, dass es ihm um das Aufzeigen von Missständen in Bezug auf das Patientenwohl bzw. die Patientensicherheit gehe. Als Rechtsgrundlage für die Veröffentlichungen kommt demnach nur Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen des Verantwortlichen – in Betracht.Als Rechtsgrundlage für die Veröffentlichungen kommt demnach nur Artikel 6, Absatz eins, Litera f, DSGVO – berechtigte Interessen des Verantwortlichen – in Betracht. Nach der Rechtsprechung des EuGH zu Art. 7 lit. f der Richtlinie 95/46/EG (

Art. 6Abs.

1 lit. f DSGVO) ist eine Verarbeitung unter drei kumulativen Voraussetzungen zulässig:

  1. Wahrnehmung eines berechtigten Interesses durch den für die Verarbeitung Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden,
  2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
  3. kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. dazu zuletzt das Urteil vom
  4. Dezember 2019, C-708/18).Nach der Rechtsprechung des EuGH zu Artikel 7, Litera f, der Richtlinie 95/46/EG (

Artikel 6

, Absatz eins, Litera f, DSGVO) ist eine Verarbeitung unter drei kumulativen Voraussetzungen zulässig:

  1. Wahrnehmung eines berechtigten Interesses durch den für die Verarbeitung Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden,
  2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
  3. kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche dazu zuletzt das Urteil vom
  4. Dezember 2019, C-708/18). Im vorliegenden Fall scheitert die Zulässigkeit der Verarbeitung längstens an der dritten Vorausaussetzung: Es ist nämlich nicht ersichtlich, inwieweit die Rechte der von der Veröffentlichung betroffenen Personen wenig wiegen sollten, als das Recht des Verantwortlichen an der Verarbeitung. Insbesondere ist nicht nachvollziehbar, inwieweit die Nennung konkreter Personen dem vom Verantwortlichen verfolgten Ziel dienlich sein sollen, zumal diesen Personen keine konkreten Vorwürfe angelastet werden und sie auch sonst keine Rolle im öffentlichen Leben spielen (vgl. zur Rolle im öffentlichen Leben nochmals den Bescheid vom
  5. Dezember 2019 a.a.O. mwN zur Rechtsprechung des OGH). Im vorliegenden Fall scheitert die Zulässigkeit der Verarbeitung längstens an der dritten Vorausaussetzung: Es ist nämlich nicht ersichtlich, inwieweit die Rechte der von der Veröffentlichung betroffenen Personen wenig wiegen sollten, als das Recht des Verantwortlichen an der Verarbeitung. Insbesondere ist nicht nachvollziehbar, inwieweit die Nennung konkreter Personen dem vom Verantwortlichen verfolgten Ziel dienlich sein sollen, zumal diesen Personen keine konkreten Vorwürfe angelastet werden und sie auch sonst keine Rolle im öffentlichen Leben spielen vergleiche zur Rolle im öffentlichen Leben nochmals den Bescheid vom
  6. Dezember 2019 a.a.O. mwN zur Rechtsprechung des OGH). Aus diesem Grund scheitert auch eine Zulässigkeit der Veröffentlichung auf Basis von Art. 11 EU-GRC.Aus diesem Grund scheitert auch eine Zulässigkeit der Veröffentlichung auf Basis von Artikel 11, EU-GRC.
  7. Ergebnis Die Datenschutzbehörde kommt daher zum Ergebnis, dass die Veröffentlichung der prüfgegenständlichen Inhalte ohne geeignete Rechtsgrundlage – somit rechtswidrig – erfolgt ist. Da sich zum Entscheidungszeitpunkt nach wie vor Fotos/Screenshots von Gesundheitsdaten auf der öffentlichen Facebook-Seite des Verantwortlichen finden, wurde auch dem Mandatsbescheid vom
  8. März 2020, zur GZ D213.1042 (2020-0.203.677), im Ergebnis nicht entsprochen. Insofern war der Mandatsbescheid spruchgemäß zu bestätigen. Zu Spruchpunkt 2: Gemäß § 13 Abs. 2 VwGVG kann die aufschiebende Wirkung einer allenfalls rechtzeitig eingebrachten und zulässigen Beschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG ausgeschlossen werden, wenn nach Abwägung der berührten öffentlichen Interessen und Interessen anderer Parteien der vorzeitige Vollzug des angefochtenen Bescheides oder die Ausübung der durch den angefochtenen Bescheid eingeräumten Berechtigung wegen Gefahr im Verzug dringend geboten ist. Gemäß Paragraph 13, Absatz 2, VwGVG kann die aufschiebende Wirkung einer allenfalls rechtzeitig eingebrachten und zulässigen Beschwerde gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG ausgeschlossen werden, wenn nach Abwägung der berührten öffentlichen Interessen und Interessen anderer Parteien der vorzeitige Vollzug des angefochtenen Bescheides oder die Ausübung der durch den angefochtenen Bescheid eingeräumten Berechtigung wegen Gefahr im Verzug dringend geboten ist. Die vorliegende Offenlegung auf der Webseite des Verantwortlichen zum Zweck des „Aufzeigens von Missständen“ erfolgt ohne tragende Rechtsgrundlage und greift schwerwiegend in das Grundrecht der Betroffenen auf Geheimhaltung ein. Die Voraussetzungen des § 13 Abs. 2 VwGVG sind damit unzweifelhaft gegeben und war die aufschiebende Wirkung einer allfälligen Beschwerde der Verantwortlichen – wie in Spruchpunkt 2 ausgesprochen – auszuschließen. Die Voraussetzungen des Paragraph 13, Absatz 2, VwGVG sind damit unzweifelhaft gegeben und war die aufschiebende Wirkung einer allfälligen Beschwerde der Verantwortlichen – wie in Spruchpunkt 2 ausgesprochen – auszuschließen. Es war spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2020:2020.0.385.423

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.