RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum22.02.2021 Geschäftszahl2021-0.119.956 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2021-0.119.956 vo

Art. 15Abs.

3 DSGVO beinhalte nur das Recht auf Übermittlung einer Kopie der über die betroffene Person gespeicherten personenbezogenen Daten, sohin eine Auflistung dieser, jedoch sei dies kein Anspruch auf Übersendung von ganzen Akten oder Aktenabschriften. Dementsprechend habe die Beschwerdeführerin nach der DSGVO kein Recht darauf, „alle Patientenakten […] vollinhaltlich als Kopie“ übermittelt zu erhalten.

1. Mit Eingabe vom
2. März 2020 nahm die Beschwerdegegnerin Stellung und führte zur Beschwerde aus, die in der Auskunft vom
3. Dezember 2019 enthaltenen personenbezogenen Daten seien sowohl eine Auskunft über die die Beschwerdeführerin betreffenden verarbeiteten personenbezogenen Daten (Artikel 15, Absatz eins, DSGVO), als auch eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, im Sinne des Artikel 15, Absatz 3, DSGVO.

Artikel 15

, Absatz 3, DSGVO beinhalte nur das Recht auf Übermittlung einer Kopie der über die betroffene Person gespeicherten personenbezogenen Daten, sohin eine Auflistung dieser, jedoch sei dies kein Anspruch auf Übersendung von ganzen Akten oder Aktenabschriften. Dementsprechend habe die Beschwerdeführerin nach der DSGVO kein Recht darauf, „alle Patientenakten […] vollinhaltlich als Kopie“ übermittelt zu erhalten. Darüber hinaus bestehe für den Fall des Patientenakts die Möglichkeit der Einsicht in die Krankengeschichte bzw. auf Herstellung einer Kopie der Krankengeschichte gegen Kostenersatz gemäß § 17a Abs. 2 lit. g Wr. KAG.

Art. 15

DSGVO wird zudem nach dem Grundsatz lex specialis derogat legi generali von spezielleren Rechten aus dem Bereich des Auskunfts- aber auch Einsichtsrechts des Wr. KAG verdrängt. Darüber hinaus bestehe für den Fall des Patientenakts die Möglichkeit der Einsicht in die Krankengeschichte bzw. auf Herstellung einer Kopie der Krankengeschichte gegen Kostenersatz gemäß Paragraph 17 a, Absatz 2, Litera g, Wr. KAG.

Artikel 15

, DSGVO wird zudem nach dem Grundsatz lex specialis derogat legi generali von spezielleren Rechten aus dem Bereich des Auskunfts- aber auch Einsichtsrechts des Wr. KAG verdrängt. Der hier vorliegende Bereich des Krankenanstaltenrechts, nämlich die Wahrnehmung der Patientenrechte, habe dabei eine europarechtliche Fundierung in der Richtlinie 2011/24/EU (siehe auch Füszl in Aigner/Kletečka/Kletečka-Pulker/Memmer, Handbuch Medizinrecht

Art. 15

DSGVO sei nach dem Grundsatz lex specialis derogat legi generali von spezielleren Rechten aus dem Bereich des Auskunfts- aber auch Einsichtsrechts des Wr. KAG verdrängt worden, welches eine Kostenpflicht für die Patientenakten vorsehe. Der vorliegende Bereich des Krankenanstaltenrechts, nämlich die Wahrnehmung der Patientenrechte, habe dabei eine europarechtliche Fundierung in der Richtlinie 2011/24/EU.Die Beschwerdegegnerin brachte vor,

Artikel 15

, DSGVO sei nach dem Grundsatz lex specialis derogat legi generali von spezielleren Rechten aus dem Bereich des Auskunfts- aber auch Einsichtsrechts des Wr. KAG verdrängt worden, welches eine Kostenpflicht für die Patientenakten vorsehe. Der vorliegende Bereich des Krankenanstaltenrechts, nämlich die Wahrnehmung der Patientenrechte, habe dabei eine europarechtliche Fundierung in der Richtlinie 2011/24/EU. Dieser Einwand verfängt schon deshalb nicht, weil gemäß Art. 2 lit. c dieser Richtlinie die Richtlinie 95/46/EG unberührt bleibt. Nach Art. 94 Abs. 2 DSGVO gelten Verweise auf die Richtlinie 95/46/EG als Verweise auf die DSGVO. Dieser Einwand verfängt schon deshalb nicht, weil gemäß Artikel 2, Litera c, dieser Richtlinie die Richtlinie 95/46/EG unberührt bleibt. Nach Artikel 94, Absatz 2, DSGVO gelten Verweise auf die Richtlinie 95/46/EG als Verweise auf die DSGVO. Schon aus diesem Grund kann nicht gesagt werden, dass die Richtlinie 2011/24/EU die DSGVO nach dem Grundsatz lex specialis derogat legi generali verdängt. Abgesehen davon sieht Art. 4 Abs. 2 lit. f der Richtlinie 2011/24/EU vor, dass der Behandlungsmitgliedstaat den Anspruch behandelter Patienten auf Erstellung einer schriftlichen oder elektronischen Patientenakte über die Behandlung sowie – gemäß den und vorbehaltlich der nationalen Maßnahmen zur Umsetzung der Unionsvorschriften zum Schutz personenbezogener Daten, insbesondere der Richtlinien 95/46/EG und 2002/58/EG — auf Zugang zu mindestens einer Kopie dieser Akte, sicherzustellen hat. Abgesehen davon sieht Artikel 4, Absatz 2, Litera f, der Richtlinie 2011/24/EU vor, dass der Behandlungsmitgliedstaat den Anspruch behandelter Patienten auf Erstellung einer schriftlichen oder elektronischen Patientenakte über die Behandlung sowie – gemäß den und vorbehaltlich der nationalen Maßnahmen zur Umsetzung der Unionsvorschriften zum Schutz personenbezogener Daten, insbesondere der Richtlinien 95/46/EG und 2002/58/EG — auf Zugang zu mindestens einer Kopie dieser Akte, sicherzustellen hat. Auch gemäß dieser – den Zugang zu Patientenakten ausdrücklich regelnden – Bestimmung sind die Vorgaben der DSGVO beachtlich. Die Richtlinie 2011/24/EU wurde durch LGBl. Nr. 33/2014 unter anderem in § 17a Abs. 2 lit. g Wr. KAG umgesetzt.Die Richtlinie 2011/24/EU wurde durch Landesgesetzblatt Nr. 33 aus 2014, unter anderem in Paragraph 17 a, Absatz 2, Litera g, Wr. KAG umgesetzt. Art. 15 DSGVO kennt keine dem § 26 Abs. 6 DSG 2000 gleichlautende Regelung, wonach das datenschutzrechtliche Auskunftsbegehren nur subsidiär zu anderen Einsichtsrechten ausgeübt werden kann. Vielmehr besteht das grundsätzliche Recht auf Auskunft gemäß Art. 15 DSGVO, soweit keine zulässige Beschränkung nach Art. 23 DSGVO vorliegt. Gilt hingegen eine speziellere materielle Regelung nach dem Unionsrecht, so geht diese nach dem Grundsatz lex specialis derogat legis generalis vor. Die DSGVO kann nicht dahingehend interpretiert werden, als regle sie die Betroffenenrechte abschließend. Vielmehr regelt die DSGVO, ihrem Anwendungsbereich entsprechend, die Betroffenenrechte in allgemeiner Weise, wobei es nicht ausgeschlossen ist, dass in anderen Rechtsakten der Union speziellere Regelungen zu den Betroffenenrechten vorgesehen sind (vgl. dazu den Bescheid vom

1. Juni 2018, GZ: DSB-D122.844/0006-DSB/2018).Artikel 15, DSGVO kennt keine dem Paragraph 26, Absatz 6, DSG 2000 gleichlautende Regelung, wonach das datenschutzrechtliche Auskunftsbegehren nur subsidiär zu anderen Einsichtsrechten ausgeübt werden kann. Vielmehr besteht das grundsätzliche Recht auf Auskunft gemäß Artikel 15, DSGVO, soweit keine zulässige Beschränkung nach Artikel 23, DSGVO vorliegt. Gilt hingegen eine speziellere materielle Regelung nach dem Unionsrecht, so geht diese nach dem Grundsatz lex specialis derogat legis generalis vor. Die DSGVO kann nicht dahingehend interpretiert werden, als regle sie die Betroffenenrechte abschließend. Vielmehr regelt die DSGVO, ihrem Anwendungsbereich entsprechend, die Betroffenenrechte in allgemeiner Weise, wobei es nicht ausgeschlossen ist, dass in anderen Rechtsakten der Union speziellere Regelungen zu den Betroffenenrechten vorgesehen sind vergleiche dazu den Bescheid vom
2. Juni 2018, GZ: DSB-D122.844/0006-DSB/2018). Da im vorliegenden Fall § 17a Abs. 2 lit. g Wr. KAG (der in Umsetzung der Richtlinie 2011/24/EU erlassen wurde) gerade kein spezielles Auskunftsrecht (im Verhältnis zur DSGVO) ohne Kostenersatz normiert, kann dadurch auch auf das Recht auf allgemeine datenschutzrechtliche Auskunft über eigene Daten nicht beschränkt werden. Im Gegenteil, die genannte Richtlinie verweist – wie dargelegt – auf die Richtlinie 95/46/EG (nunmehr DSGVO), welche für die Verarbeitung personenbezogener Daten maßgeblich ist.Da im vorliegenden Fall Paragraph 17 a, Absatz 2, Litera g, Wr. KAG (der in Umsetzung der Richtlinie 2011/24/EU erlassen wurde) gerade kein spezielles Auskunftsrecht (im Verhältnis zur DSGVO) ohne Kostenersatz normiert, kann dadurch auch auf das Recht auf allgemeine datenschutzrechtliche Auskunft über eigene Daten nicht beschränkt werden. Im Gegenteil, die genannte Richtlinie verweist – wie dargelegt – auf die Richtlinie 95/46/EG (nunmehr DSGVO), welche für die Verarbeitung personenbezogener Daten maßgeblich ist. Aus alledem folgt, dass § 17a Abs. 2 lit. g Wr. KAG dem Art. 15 DSGVO nicht derogiert.Aus alledem folgt, dass Paragraph 17 a, Absatz 2, Litera g, Wr. KAG dem Artikel 15, DSGVO nicht derogiert.
3. Zu Spruchpunkt 1 und 2 a) Grundsätzliches zu Art. 15 DSGVOa) Grundsätzliches zu Artikel 15, DSGVO Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten sowie Anspruch auf die Informationen gemäß lit. a bis h leg. cit. Gemäß Art. 15 Abs. 3 DSGVO hat der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, dem Betroffenen zur Verfügung zu stellen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nicht anderes angibt.Gemäß Artikel 15, Absatz eins, DSGVO hat die betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten sowie Anspruch auf die Informationen gemäß Litera a, bis h leg. cit. Gemäß Artikel 15, Absatz 3, DSGVO hat der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, dem Betroffenen zur Verfügung zu stellen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nicht anderes angibt. Grundsätzlich hat die Beschwerdegegnerin also die von ihr verarbeiteten personenbezogenen Daten der Beschwerdeführerin zu beauskunften, soweit keine andere Ausnahme vom Auskunftsrecht besteht. b.) Zum Recht auf Kopie (Art. 15 Abs. 3 DSGVO)b.) Zum Recht auf Kopie (Artikel 15, Absatz 3, DSGVO) Der Anspruch auf Datenkopie nach Art. 15 Abs. 3 DSGVO besteht selbständig neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten gemäß Abs. 1 leg. cit. (vgl. Franck in Gola [Hrsg.], Datenschutz-Grundverordnung2 Art 15 Rz 27).Der Anspruch auf Datenkopie nach Artikel 15, Absatz 3, DSGVO besteht selbständig neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten gemäß Absatz eins, leg. cit. vergleiche Franck in Gola [Hrsg.], Datenschutz-Grundverordnung2 Artikel 15, Rz 27). Die Beschwerdeführerin vermeint zusammengefasst, Informationen über die Inhalte der Patientenakten, bzw. Auskunft über Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen, sohin im Wesentlichen eine Kopie der Krankengeschichte, über die Geltendmachung des Auskunftsrechts erhalten zu können. Die Datenschutzbehörde hat unter Hinweis auf den ErwGr. 63 sowie das Urteil des EuGH vom
4. Juli 2014, YS u.a., C-141/12 und C-372/12, bereits ausgesprochen, dass sich aus Art. 15 Abs. 3 DSGVO kein Anspruch auf Herausgabe einer Kopie von Dokumenten, die personenbezogene Daten eines Auskunftswerbers enthalten, ableiten lässt. Unter Berufung auf Art. 15 Abs. 3 DSGVO ist es somit nicht möglich, die Herausgabe ganzer Urkunden zu verlangen, mögen darin auch personenbezogene Daten eines Auskunftswerbers aufscheinen (vgl. in diesem Sinne auch das Urteil des BG für Handelssachen Wien vom
5. Oktober 2019, GZ 18 C 263/19m betreffend Ausfolgung einer Versicherungspolizze). Art. 15 Abs. 3 DSGVO normiert lediglich das Recht auf Erhalt einer „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ (siehe dazu auch den Bescheid vom
6. August 2020, GZ: 2020-0.204.456 mwN).Die Datenschutzbehörde hat unter Hinweis auf den ErwGr. 63 sowie das Urteil des EuGH vom
7. Juli 2014, YS u.a., C-141/12 und C-372/12, bereits ausgesprochen, dass sich aus Artikel 15, Absatz 3, DSGVO kein Anspruch auf Herausgabe einer Kopie von Dokumenten, die personenbezogene Daten eines Auskunftswerbers enthalten, ableiten lässt. Unter Berufung auf Artikel 15, Absatz 3, DSGVO ist es somit nicht möglich, die Herausgabe ganzer Urkunden zu verlangen, mögen darin auch personenbezogene Daten eines Auskunftswerbers aufscheinen vergleiche in diesem Sinne auch das Urteil des BG für Handelssachen Wien vom
8. Oktober 2019, GZ 18 C 263/19m betreffend Ausfolgung einer Versicherungspolizze). Artikel 15, Absatz 3, DSGVO normiert lediglich das Recht auf Erhalt einer „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ (siehe dazu auch den Bescheid vom
9. August 2020, GZ: 2020-0.204.456 mwN). Entgegen der Ansicht der Beschwerdeführerin lässt sich auch aus ErwGr. 63 nicht ableiten, dass Anspruch auf (kostenfreie) Herausgabe ganzer Dokumente besteht: Dort wird nämlich von „Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten“ gesprochen und nicht von „Daten von Patientenakten“. Aus alledem ist abzuleiten, dass kein Recht auf Kopien der ganzen Patientenakten nach der DSGVO besteht, aber mittels eines Auskunftsbegehrens dennoch die Informationen des ErwGr. 63
10. Satz DSGVO in den Patientenakten begehrt werden können. In der gesamten Auskunft der Beschwerdegegnerin befanden sich, außer den Namen der Akten/Befunde und Therapien mit Datum, jedenfalls keine vollständigen Informationen zu den gesundheitsbezogenen Daten der Beschwerdeführerin in den Patientenakten, wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte. Unter Berücksichtigung der obigen Ausführungen kommt es demnach nicht darauf an, ganze Dokumente zu vervielfältigen und kostenlos zur Verfügung zu stellen; Art. 15 DSGVO garantiert aber dennoch Auskunft über diese Daten zu erhalten, sei es in Form eines Abdrucks (Faksimilie) oder sei es in Form einer Deskription des Inhaltes bzw. Kontextes, in dem personenbezogene Daten verarbeitet werden.Unter Berücksichtigung der obigen Ausführungen kommt es demnach nicht darauf an, ganze Dokumente zu vervielfältigen und kostenlos zur Verfügung zu stellen; Artikel 15, DSGVO garantiert aber dennoch Auskunft über diese Daten zu erhalten, sei es in Form eines Abdrucks (Faksimilie) oder sei es in Form einer Deskription des Inhaltes bzw. Kontextes, in dem personenbezogene Daten verarbeitet werden. Die Auskunft hat jedenfalls präzise so zu erfolgen, dass die betroffene Person auf Basis dieser Auskunft ihre Rechte auf Löschung, Richtigstellung und ggf. Widerspruch geltend machen kann (vgl. noch zur Richtlinie 95/46/EG das Urteil des EuGH vom
11. Mai 2009, C-553/07, Rz 49 und 51).Die Auskunft hat jedenfalls präzise so zu erfolgen, dass die betroffene Person auf Basis dieser Auskunft ihre Rechte auf Löschung, Richtigstellung und ggf. Widerspruch geltend machen kann vergleiche noch zur Richtlinie 95/46/EG das Urteil des EuGH vom
12. Mai 2009, C-553/07, Rz 49 und 51). Im Ergebnis hat die Beschwerdegegnerin daher jedenfalls unzureichend auf den Antrag auf Auskunft reagiert und es war ihr aufzutragen, der Beschwerdeführerin eine dem Art. 15 DSGVO entsprechende, vollständige Auskunft zu erteilen und die gesundheitsbezogenen Daten in den Patientenakten iSd. ErwGr. 63
13. Satz DSGVO der Beschwerdeführerin zu beauskunften.Im Ergebnis hat die Beschwerdegegnerin daher jedenfalls unzureichend auf den Antrag auf Auskunft reagiert und es war ihr aufzutragen, der Beschwerdeführerin eine dem Artikel 15, DSGVO entsprechende, vollständige Auskunft zu erteilen und die gesundheitsbezogenen Daten in den Patientenakten iSd. ErwGr. 63
14. Satz DSGVO der Beschwerdeführerin zu beauskunften. Spruchpunkt 2 stützt sich auf Art. 58 Abs. 2 lit. c DSGVO. Die Einschränkung gemäß § 24 Abs. 5 DSG hat außer Betracht zu bleiben, weil diese in Art. 58 DSGVO keine Deckung findet (vgl. dazu BVwG vom
15. Mai 2020, GZ W211 221 6385-1).Spruchpunkt 2 stützt sich auf Artikel 58, Absatz 2, Litera c, DSGVO. Die Einschränkung gemäß Paragraph 24, Absatz 5, DSG hat außer Betracht zu bleiben, weil diese in Artikel 58, DSGVO keine Deckung findet vergleiche dazu BVwG vom
16. Mai 2020, GZ W211 221 6385-1). Daher war spruchgemäß zu entscheiden. Zu Spruchpunkt 3 und 4: Die Beschwerdeführerin erhob Beschwerde wegen mangelhafter Auskunft und nicht wegen Nichterteilung der Auskunft. Ziel des auf Art. 15 DSGVO gestützten Beschwerdeverfahrens ist es, Auskunft über die Verarbeitung personenbezogener Daten durch den Beschwerdegegner zu erhalten.Ziel des auf Artikel 15, DSGVO gestützten Beschwerdeverfahrens ist es, Auskunft über die Verarbeitung personenbezogener Daten durch den Beschwerdegegner zu erhalten. In Bezug auf den Antrag der Beschwerdeführerin auf Feststellung, dass die von der Beschwerdegegnerin verlangte Ausweiskopie, obwohl bereits eine qualifizierte elektronische Unterschrift vorgelegt wurde, nicht rechtens gewesen sei sowie, dass es der Beschwerdegegnerin zumutbar gewesen sei, eine weitere zusätzliche Meldeauskunft bei der MA 62 einzuholen, ist festzuhalten, dass aus Art. 77 DSGVO (iVm § 24 DSG) lediglich das Recht ableitbar ist, Beschwerde an eine Aufsichtsbehörde zu erheben und dadurch die Durchsetzung subjektiver Rechte – nötigenfalls mittels behördlichem Leistungsauftrag – zu ermöglichen. Ein Recht auf Feststellung, dass die Beschwerdegegnerin in der Vergangenheit vermeintlich rechtswidrig eine Ausweiskopie verlangt habe oder es ihr zumutbar gewesen sei, eine Meldeauskunft selbst einzuholen, ist aus dem Recht auf Auskunft gemäß Art. 15 DSGVO nicht ableitbar. In Bezug auf den Antrag der Beschwerdeführerin auf Feststellung, dass die von der Beschwerdegegnerin verlangte Ausweiskopie, obwohl bereits eine qualifizierte elektronische Unterschrift vorgelegt wurde, nicht rechtens gewesen sei sowie, dass es der Beschwerdegegnerin zumutbar gewesen sei, eine weitere zusätzliche Meldeauskunft bei der MA 62 einzuholen, ist festzuhalten, dass aus Artikel 77, DSGVO in Verbindung mit Paragraph 24, DSG) lediglich das Recht ableitbar ist, Beschwerde an eine Aufsichtsbehörde zu erheben und dadurch die Durchsetzung subjektiver Rechte – nötigenfalls mittels behördlichem Leistungsauftrag – zu ermöglichen. Ein Recht auf Feststellung, dass die Beschwerdegegnerin in der Vergangenheit vermeintlich rechtswidrig eine Ausweiskopie verlangt habe oder es ihr zumutbar gewesen sei, eine Meldeauskunft selbst einzuholen, ist aus dem Recht auf Auskunft gemäß Artikel 15, DSGVO nicht ableitbar. Ungeachtet dessen kann der Beschwerdegegnerin aber nicht entgegengetreten werden, nähere Informationen eingeholt zu haben, weil das Auskunftsbegehren – und damit auch die digital signierten Dokumente – nicht von der Beschwerdeführerin selbst stammen, sondern vom Obsorgeberechtigten. Die damit erbrachten Identitätsnachweise beziehen sich demnach ausschließlich auf ihn, nicht jedoch auf die Beschwerdeführerin und Auskunftswerberin. Daher war spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2021:2021.0.119.956