← Österreich

{'item': '2021-0.404.151'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum10.06.2021 Geschäftszahl2021-0.404.151 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2021-0.404.151 vom

  1. Juni 2021 (Verfahrenszahl: DSB-D124.4082) [Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Anita A*** (Beschwerdeführerin) vom
  2. Mai 2021 gegen Frau Dr. Paula N*** (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt: - Der Beschwerde wird stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin die Beschwerdeführerin in ihrem Recht auf Geheimhaltung verletzt hat, indem die Beschwerdegegnerin am
  3. Mai 2021 auf Daten der Beschwerdeführerin im elektronischen Impfpass zugegriffen hat. Rechtsgrundlagen: Art. 4, Art. 6, Art. 9, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 4,, Artikel 6,, Artikel 9,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen eins,, 18 Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang
  4. Die Beschwerdeführerin brachte in ihrer Eingabe vom
  5. Mai 2021 im Wesentlichen vor, die Beschwerdegegnerin habe sie durch Zugriff auf deren ELGA-Impfdaten in ihrem Recht auf Geheimhaltung verletzt. Über entsprechende Nachfrage habe man ihr die Information erteilt, dass der Zugriff für private Zwecke erfolgt sei. Die Beschwerdeführerin sei keine Patientin der Ordination der Beschwerdegegnerin und sei die Beschwerdegegnerin aufgrund eines privaten familiären Treffens der Beschwerdeführerin mit deren Schwägerin, welche als Sekretärin in der Ordination der Beschwerdegegnerin arbeite, erfolgt. Der Beschwerde beigelegt war ein Screenshot aus dem ELGA-Protokoll.
  6. Die Beschwerdegegnerin führte am
  7. Mai 2021 zusammengefasst aus, dass es richtig sei, dass sie am
  8. Mai 2021 in den elektronischen Impfpass der Beschwerdeführerin Einsicht genommen habe. Sie sei als Ärztin dazu verpflichtet, Medikationsdaten in der e-Medikation und die Covid-19 Impfung im e-Impfpass zu speichern und habe daher Zugriff auf diese beiden Funktionen. Die Beschwerdeführerin sei die Schwägerin der Assistentin der Beschwerdegegnerin. Diese habe ihr erzählt, dass am Wochenende eine Familienfeier geplant sei. Nachdem mittlerweile bekannt gewesen sei, dass gehäuft Cluster nach Familienfeiern auftreten, habe sie für sich und ihre Mitarbeiterin auf diesem Weg eine Risikoabschätzung durchgeführt. Es sei ihr seit Beginn der Pandemie gelungen, Covid-19 Infektionen aus der Ordination fern zu halten. Die Praxis sei nie behördlich geschlossen gewesen, sodass sie immer für deren Patienten da sein konnte. Weder deren Assistentinnen noch sie selbst sei an Covid-19 erkrankt. Die einzige Intention, den Impfpass der Beschwerdeführerin abzufragen, sei darin gelegen, das Infektionsrisiko für ihre Assistentin abzuschätzen, um den ungestörten Betrieb der Ordination zu sichern und keinesfalls Patienten und weitere Praxismitarbeiter mit dem Virus anzustecken. Zudem unterliege sie der ärztlichen Schweigepflicht und habe daher diese Information an niemand anderen weitergegeben.
  9. Die Beschwerdeführerin führte am
  10. Mai 2021 im Zuge des Parteiengehörs aus, dass die Beschwerdegegnerin nicht wissen habe können, dass sie an der Familienfeier teilgenommen habe. Des Weiteren gab sie bekannt, dass sie ebenso die Beschwerdeführerin persönlich fragen hätte können. B. Beschwerdegegenstand Beschwerdegegenständlich stellt sich die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem diese auf Daten der Beschwerdeführerin im elektronischen Impfpass zugegriffen hat. C. Sachverhaltsfeststellungen
  11. Die Beschwerdegegnerin ist niedergelassene Ärztin und betreibt eine Ordination in L***. Die Beschwerdegegnerin und die Beschwerdeführerin sind einander bekannt, da die Schwägerin der Beschwerdeführerin Mitarbeiterin in der Ordination der Beschwerdegegnerin ist.
  12. Die Mitarbeiterin der Beschwerdegegnerin teilte der Beschwerdegegnerin am Abend des
  13. Mai 2021 mit, dass am Wochenende eine Familienfeier geplant sei.
  14. Die besagte Mitarbeiterin der Beschwerdegegnerin erhielt bis zum
  15. Mai 2021 erst eine Covid-19-Imfpung.
  16. Am
  17. Mai 2021 nahm die Beschwerdegegnerin in den elektronischen Impfpass zu Daten der Beschwerdeführerin Einsicht. Beweiswürdigung: Die getroffenen Feststellungen stützen sich auf das übereinstimmende Vorbringen sowie auf die vorgelegte Kommunikation der Parteien. D. In rechtlicher Hinsicht folgt daraus: Die Beschwerdeführerin bringt in ihrer Beschwerde vom
  18. Mai 2021 vor, dass die Beschwerdegegnerin durch die Abfrage im elektronischen Impfpass gegen ihr Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verstoßen habe. Die Beschwerdeführerin bringt in ihrer Beschwerde vom
  19. Mai 2021 vor, dass die Beschwerdegegnerin durch die Abfrage im elektronischen Impfpass gegen ihr Grundrecht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG verstoßen habe. D.
  20. Zum Recht auf Geheimhaltung: § 1 Abs. 1 DSG legt fest, dass jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogene Daten hat, soweit ein schutzwürdiges Interesse daran besteht. Paragraph eins, Absatz eins, DSG legt fest, dass jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogene Daten hat, soweit ein schutzwürdiges Interesse daran besteht. Bei den durch die Beschwerdegegnerin im Zuge der Abfrage erhobenen Daten handelt es sich unstrittig um personenbezogene Daten der Beschwerdeführerin iSd Art. 4 Z 1 DSGVO. Auch ist durchaus ein schutzwürdiges Interesse an der Geheimhaltung dieser personenbezogenen Daten erkennbar. Der Anwendungsbereich von § 1 Abs. 1 DSG ist daher eröffnet.Bei den durch die Beschwerdegegnerin im Zuge der Abfrage erhobenen Daten handelt es sich unstrittig um personenbezogene Daten der Beschwerdeführerin iSd Artikel 4, Ziffer eins, DSGVO. Auch ist durchaus ein schutzwürdiges Interesse an der Geheimhaltung dieser personenbezogenen Daten erkennbar. Der Anwendungsbereich von Paragraph eins, Absatz eins, DSG ist daher eröffnet. Darüber hinaus gilt zu prüfen, ob die Eintragungen des elektronischen Impfpasses als Gesundheitsdaten im Sinne des Art. 4 Z 15 zu qualifizieren sind. Darüber hinaus gilt zu prüfen, ob die Eintragungen des elektronischen Impfpasses als Gesundheitsdaten im Sinne des Artikel 4, Ziffer 15, zu qualifizieren sind. Diesbezüglich ist zunächst festzuhalten, dass der Wortlaut des Art. 4 Z 15 DSGVO nicht an eine gewisse (Mindest-) Beeinträchtigung der körperlichen oder geistigen Gesundheit anknüpft, was für einen weite Auslegung des Begriffs „Gesundheitsdatums“ spricht. Noch deutlicher wird dies in ErwGr. 35 der Verordnung, wonach zu den personenbezogenen Gesundheitsdaten alle Daten zählen sollten, aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen.Diesbezüglich ist zunächst festzuhalten, dass der Wortlaut des Artikel 4, Ziffer 15, DSGVO nicht an eine gewisse (Mindest-) Beeinträchtigung der körperlichen oder geistigen Gesundheit anknüpft, was für einen weite Auslegung des Begriffs „Gesundheitsdatums“ spricht. Noch deutlicher wird dies in ErwGr. 35 der Verordnung, wonach zu den personenbezogenen Gesundheitsdaten alle Daten zählen sollten, aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen. Diese Überlegungen finden auch in der Judikatur des EuGH Deckung, wonach der Begriff „Gesundheitsdatum“ weit auszulegen ist (vgl. zur insofern vergleichbaren Rechtslage nach der Richtlinie 95/46 das Urteil des EuGH vom
  21. November 2003, C 101/01, Rs Lindqvist, Rz 50 f).Diese Überlegungen finden auch in der Judikatur des EuGH Deckung, wonach der Begriff „Gesundheitsdatum“ weit auszulegen ist vergleiche zur insofern vergleichbaren Rechtslage nach der Richtlinie 95/46 das Urteil des EuGH vom
  22. November 2003, C 101/01, Rs Lindqvist, Rz 50 f). Nach dem zuvor Gesagtem, ist daher konsequenterweise auch die Information einer „stattgefunden“ oder „nicht stattgefunden“ Impfung als Gesundheitsdatum zu qualifizieren und hält die Datenschutzbehörde daher fest, dass die Beschwerdegegnerin durch die Abfrage Gesundheitsdaten der Beschwerdeführerin iSd Art. 9 Abs. 1 DSGVO erhoben hat. Nach dem zuvor Gesagtem, ist daher konsequenterweise auch die Information einer „stattgefunden“ oder „nicht stattgefunden“ Impfung als Gesundheitsdatum zu qualifizieren und hält die Datenschutzbehörde daher fest, dass die Beschwerdegegnerin durch die Abfrage Gesundheitsdaten der Beschwerdeführerin iSd Artikel 9, Absatz eins, DSGVO erhoben hat. D.1.1 Zu den Beschränkungen des Grundrechts auf Geheimhaltung Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Im vorliegenden Fall wurden Gesundheitsdaten gemäß Art. 4 Z 15 DSGVO verarbeitet. Diese gelten gemäß Art. 9 Abs. 1 DSGVO als besondere Kategorie personenbezogener Daten und dürfen ausschließlich in den in Abs. 2 genannten Fällen verarbeitet werden. Eine Verarbeitung kann daher ausschließlich beim Vorliegen einer der in § 1 Abs. 2 DSG iVm Art. 9 Abs. 2 DSGVO normierten Ausnahmen gerechtfertigt sein.Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Im vorliegenden Fall wurden Gesundheitsdaten gemäß Artikel 4, Ziffer 15, DSGVO verarbeitet. Diese gelten gemäß Artikel 9, Absatz eins, DSGVO als besondere Kategorie personenbezogener Daten und dürfen ausschließlich in den in Absatz 2, genannten Fällen verarbeitet werden. Eine Verarbeitung kann daher ausschließlich beim Vorliegen einer der in Paragraph eins, Absatz 2, DSG in Verbindung mit Artikel 9, Absatz 2, DSGVO normierten Ausnahmen gerechtfertigt sein. Im Vergleich zu Art. 6 DSGVO handelt es sich hierbei um ein strengeres Rechtsregime. Art. 9 Abs. 2 DSGVO statuiert Ausnahmen vom Verarbeitungsverbot des Art. 9 Abs. 1 und schränkt die Zulässigkeit der Datenverarbeitung auf bestimmte, in Abs. 2 lit. a – j angeführte Tatbestände ein, die enger sind als jene für die Verarbeitung „nicht-sensibler“ Daten in Art. 6 Abs. 1, insbesondere fehlen die Zulässigkeitstatbestände der „Verarbeitung im berechtigten Interesse des Verantwortlichen oder eines Dritten“ (Art. 6 Abs. 1 lit. f) und jener der „Verarbeitung zur Vertragserfüllung“ (Art. 6 Abs. 1 lit. b) (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 9 DSGVO Rz 1).Im Vergleich zu Artikel 6, DSGVO handelt es sich hierbei um ein strengeres Rechtsregime. Artikel 9, Absatz 2, DSGVO statuiert Ausnahmen vom Verarbeitungsverbot des Artikel 9, Absatz eins und schränkt die Zulässigkeit der Datenverarbeitung auf bestimmte, in Absatz 2, Litera a, – j angeführte Tatbestände ein, die enger sind als jene für die Verarbeitung „nicht-sensibler“ Daten in Artikel 6, Absatz eins,, insbesondere fehlen die Zulässigkeitstatbestände der „Verarbeitung im berechtigten Interesse des Verantwortlichen oder eines Dritten“ (Artikel 6, Absatz eins, Litera f,) und jener der „Verarbeitung zur Vertragserfüllung“ (Artikel 6, Absatz eins, Litera b,) vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 9, DSGVO Rz 1). D.2 Rechtmäßigkeit der Verarbeitung Laut eigenen Angaben stützt die Beschwerdegegnerin die Verarbeitung der personenbezogenen Daten sinngemäß auf ein überwiegendes berechtigtes Interesse, indem diese Anführt die Abfrage zum Schutze ihrer Mitarbeiterin und Patienten getätigt zu haben. Betreffend der „überwiegenden berechtigten Interessen“ der Beschwerdegegnerin kann auf das bereits unter Punkt D.1.
  23. Gesagte verwiesen werden. Da der in Art. 6 Abs. 1 lit. f DSGVO befindliche Rechtfertigungsgrund nicht von Art. 9 Abs. 2 DSGVO umfasst ist, ist die Berufung auf diesen Ausschlussgrund konsequenterweise unzulässig. Betreffend der „überwiegenden berechtigten Interessen“ der Beschwerdegegnerin kann auf das bereits unter Punkt D.1.
  24. Gesagte verwiesen werden. Da der in Artikel 6, Absatz eins, Litera f, DSGVO befindliche Rechtfertigungsgrund nicht von Artikel 9, Absatz 2, DSGVO umfasst ist, ist die Berufung auf diesen Ausschlussgrund konsequenterweise unzulässig. Sonstige Gründe, die die Aufzeichnung im Lichte der anderen Eingriffsmöglichkeiten nach Art. 9 Abs. 2 DSGVO rechtmäßig erscheinen ließe, liegen erkennbar nicht vor und wurden von der Beschwerdegegnerin im Übrigen auch nicht releviert.Sonstige Gründe, die die Aufzeichnung im Lichte der anderen Eingriffsmöglichkeiten nach Artikel 9, Absatz 2, DSGVO rechtmäßig erscheinen ließe, liegen erkennbar nicht vor und wurden von der Beschwerdegegnerin im Übrigen auch nicht releviert. D.3 Ergebnis Die gegenständliche Datenverarbeitung (Abfrage des elektronischen Impfpasses) kann daher auf keinen der genannten Erlaubnistatbestände gestützt werden und erweist sich diese daher als unrechtmäßig, weshalb eine Verletzung im Recht auf Geheimhaltung vorliegt. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2021:2021.0.404.151

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.