RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum30.01.2023 Geschäftszahl2023-0.046.014 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2023-0.046.014 vo

Standardeinstellung 24 Stunden nach dessen Veröffentlichung automatisiert gelöscht wird. Verfahrensgegenständlich war der Beitrag für rund drei Stunden sichtbar und wurde nachfolgend durch die Mitarbeiterin selbst gelöscht. Social-Media Beiträge der Mitarbeiterin werden durchschnittlich von rund 100 Personen angesehen.

1. Dem genannten Lichtbild waren folgende Informationen der Patientin (betroffene Person) zu entnehmen: Vor- und Nachname, Patientenzahl, Station (namentlich „Akutgeriatrie“) sowie Informationen über sie betreffende Pflegeaktivitäten (namentlich „Setzen eines Venflons“). Des Weiteren Namenskürzel und Arbeitsbereich von drei Mitarbeiter*innen der Verantwortlichen.
2. Eine Einwilligung betreffend die Veröffentlichung der unter Punkt C.
3. genannten Informationen durch die betroffene Person lag zu keinem Zeitpunkt vor.
4. Der Verantwortlichen wurde die unter Punkt C.
5. genannte Veröffentlichung am
6. November 2022 durch einen anonymen Hinweis zur Kenntnis gebracht, dieser wurde jedoch erst am
7. November 2022 an die intern zuständige Abteilung weitergeleitet, weshalb die verfahrenseinleitende (Erst-)Meldung an die Datenschutzbehörde am
8. November 2022 erstattet worden ist. Konkret erfolgt diese durch die für Datenschutz zuständige Abteilung des Magistrats der Stadt Wien. In weiterer Folge wurden mehrere ergänzende Meldungen und Stellungnahme durch die Verantwortliche eingebracht.
9. Bis zum Abschluss des gegenständlichen Verfahrens erfolgte keine Benachrichtigung und Information der von der unter Punkt C.
10. genannten Veröffentlichung betroffenen Person. Beweiswürdigung: Die getroffenen Feststellungen beruhen im Wesentlichen auf dem stringenten und insofern durchwegs glaubwürdigen Vorbringen der Verantwortlichen, vertreten durch die zuständige Abteilung des Magistrats Wien, im Rahmen der Erstmeldung vom
11. November 2022 sowie der Folgemeldungen. Die Feststellungen zu den Punkten C.
12. sowie C.
13. gründen sich darüber hinaus auf einer amtswegigen Abfrage der Webseiten des Wiener Gesundheitsgesundheitsverbundes unter www.gesundheitsverbund.at sowie der Nutzungsbedingungen von ***media unter www.***media.org, beides abgefragt am
14. Jänner
15. D. In rechtlicher Hinsicht folgt daraus: D.
16. Allgemeines und Rechtsgrundlagen Gemäß Art. 33 Abs. 1 DSGVO meldet der Verantwortliche im Falle einer Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen. Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen (Abs. 4 leg. cit.). Gemäß Artikel 33, Absatz eins, DSGVO meldet der Verantwortliche im Falle einer Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen. Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen (Absatz 4, leg. cit.).

Art. 4

Z 12 DSGVO ist unter „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.

Artikel 4

, Ziffer 12, DSGVO ist unter „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden. In ErwG 85 DSGVO werden als mögliche Folgen einer Verletzung des Schutzes personenbezogener Daten – wenn nicht rechtzeitig und angemessen reagiert wird – u.a. ein physischer, materieller oder immaterieller Schaden durch Verlust der Kontrolle über personenbezogene Daten, Diskriminierung, Identitätsdiebstahl oder etwa Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile für die betroffene natürliche Person genannt. Aus diesen Gründen sollte der Verantwortliche, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Aufsichtsbehörde unverzüglich unterrichten. Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche gemäß Art. 34 Abs. 1 DSGVO die betroffene Person unverzüglich von der Verletzung. Die genannte Benachrichtigung der betroffenen Person beschreibt gemäß Abs. 2 leg. cit. in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 33 Abs. 3 Buchstaben b, c und d leg. cit. genannten Informationen und Maßnahmen.Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche gemäß Artikel 34, Absatz eins, DSGVO die betroffene Person unverzüglich von der Verletzung. Die genannte Benachrichtigung der betroffenen Person beschreibt gemäß Absatz 2, leg. cit. in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 33 Absatz 3, Buchstaben b, c und d leg. cit. genannten Informationen und Maßnahmen.

Art. 34Abs.

4 DSGVO kann die Aufsichtsbehörde, wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen, oder sie kann mit einem Beschluss feststellen, dass bestimmte Voraussetzungen erfüllt sind.

Artikel 34

, Absatz 4, DSGVO kann die Aufsichtsbehörde, wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen, oder sie kann mit einem Beschluss feststellen, dass bestimmte Voraussetzungen erfüllt sind. Die Benachrichtigung der betroffenen Person soll

ErwG 86 dazu dienen, dass diese die erforderlichen Vorkehrungen treffen können. Solche Benachrichtigungen sollten stets so rasch wie möglich nach allgemeinem Ermessen und in enger Absprache mit der Aufsichtsbehörde erfolgen. Gesundheitsdaten sind gemäß Art. 4 Z 15 DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Sie sind

Art. 9Abs.

1 DSGVO als Daten besonderer Kategorie („sensible Daten“) qualifiziert und ist bei deren Verarbeitung

ErwG 75 leg. cit. mit einem gewissen (erhöhten) Risiko zu rechnen. Gesundheitsdaten sind gemäß Artikel 4, Ziffer 15, DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Sie sind

Artikel 9

, Absatz eins, DSGVO als Daten besonderer Kategorie („sensible Daten“) qualifiziert und ist bei deren Verarbeitung

ErwG 75 leg. cit. mit einem gewissen (erhöhten) Risiko zu rechnen.

§ 71Abs. 1 WSt

V handelt es sich bei „Unternehmungen“ im Sinne dieses Gesetzes um jene wirtschaftlichen Einrichtungen, denen der Gemeinderat (der Stadt Wien) die Eigenschaft einer Unternehmung zuerkennt. Die Unternehmungen besitzen gemäß Abs. 2 leg. cit. keine Rechtspersönlichkeit. Ihr Vermögen wird vom übrigen Vermögen der Gemeinde gesondert verwaltet. Soweit eine Eintragung der Unternehmungen in das Firmenbuch erfolgt, muss aus der Bezeichnung ersichtlich sein, dass es sich um eine Unternehmung der Stadt Wien handelt.

Paragraph 71, Absatz eins, WStV handelt es sich bei „Unternehmungen“ im Sinne dieses Gesetzes um jene wirtschaftlichen Einrichtungen, denen der Gemeinderat (der Stadt Wien) die Eigenschaft einer Unternehmung zuerkennt. Die Unternehmungen besitzen gemäß Absatz 2, leg. cit. keine Rechtspersönlichkeit. Ihr Vermögen wird vom übrigen Vermögen der Gemeinde gesondert verwaltet. Soweit eine Eintragung der Unternehmungen in das Firmenbuch erfolgt, muss aus der Bezeichnung ersichtlich sein, dass es sich um eine Unternehmung der Stadt Wien handelt. Gemäß § 71 Abs. 3 WStV hat der Gemeinderat insbesondere unter Bedachtnahme auf den zweiten Absatz des § 67 leg. cit. für die Unternehmungen durch Verordnung ein Statut zu beschließen.

diesem obliegt dem Magistratsdirektor, der dem Bürgermeister unmittelbar unterstellt ist, die Leitung des inneren Dienstes des Magistrats und die Besorgung der ihm in der Geschäftseinteilung vorbehaltenen Aufgaben.Gemäß Paragraph 71, Absatz 3, WStV hat der Gemeinderat insbesondere unter Bedachtnahme auf den zweiten Absatz des Paragraph 67, leg. cit. für die Unternehmungen durch Verordnung ein Statut zu beschließen.

diesem obliegt dem Magistratsdirektor, der dem Bürgermeister unmittelbar unterstellt ist, die Leitung des inneren Dienstes des Magistrats und die Besorgung der ihm in der Geschäftseinteilung vorbehaltenen Aufgaben.

Verordnung des Gemeinderates, mit der ein Statut für die Unternehmung „Wiener Gesundheitsverbund“ erlassen wird, ist die Unternehmung „Wiener Gesundheitsverbund“ eine wirtschaftliche Einrichtung, der der Gemeinderat die Eigenschaft einer Unternehmung zuerkannt hat (§ 1 Abs. 1 leg. cit.). Dem Gemeinderat steht die Oberaufsicht über die Unternehmung „Wiener Gesundheitsverbund“ zu (§ 4 leg. cit.). Dem Bürgermeister ist der Magistratsdirektor sowie alle Bediensteten der Unternehmung „Wiener Gesundheitsverbund“ untergeordnet (§ 7 Abs. 1 leg. cit.).

Verordnung des Gemeinderates, mit der ein Statut für die Unternehmung „Wiener Gesundheitsverbund“ erlassen wird, ist die Unternehmung „Wiener Gesundheitsverbund“ eine wirtschaftliche Einrichtung, der der Gemeinderat die Eigenschaft einer Unternehmung zuerkannt hat (Paragraph eins, Absatz eins, leg. cit.). Dem Gemeinderat steht die Oberaufsicht über die Unternehmung „Wiener Gesundheitsverbund“ zu (Paragraph 4, leg. cit.). Dem Bürgermeister ist der Magistratsdirektor sowie alle Bediensteten der Unternehmung „Wiener Gesundheitsverbund“ untergeordnet (Paragraph 7, Absatz eins, leg. cit.). D.

1. Zum Vorliegen einer Sicherheitsverletzung und zur diesbezüglichen Verantwortlichkeit Dem unter Punkt D.
2. zitierten Art. 33 Abs. 1 DSGVO ist ausdrücklich zu entnehmen, dass sich die darin normierte Meldeverpflichtung ausschließlich an den jeweiligen Verantwortlichen richtet. Da die Verantwortlicheneigenschaft im Laufe des Verfahrens mehrfach von der Verantwortlichen in Zweifel gezogen wurde, ist näher darauf einzugehen: Dem unter Punkt D.
3. zitierten Artikel 33, Absatz eins, DSGVO ist ausdrücklich zu entnehmen, dass sich die darin normierte Meldeverpflichtung ausschließlich an den jeweiligen Verantwortlichen richtet. Da die Verantwortlicheneigenschaft im Laufe des Verfahrens mehrfach von der Verantwortlichen in Zweifel gezogen wurde, ist näher darauf einzugehen: Eingangs kann der Verantwortlichen zwar insoweit zugestimmt werden, als dass aus (zweckwidrigen und unternehmensfremden) Datenabfragen uÄ durch Mitarbeiterinnen und Mitarbeiter – insbesondere zu rein privaten Zwecken – im Einzelfall eine eigenständige (uU ausschließliche) datenschutzrechtliche Verantwortlichkeit der natürlichen Person abgeleitet werden kann (vgl. etwa den Bescheid der DSB vom
4. November 2020, GZ: 2020-0.764.719).Eingangs kann der Verantwortlichen zwar insoweit zugestimmt werden, als dass aus (zweckwidrigen und unternehmensfremden) Datenabfragen uÄ durch Mitarbeiterinnen und Mitarbeiter – insbesondere zu rein privaten Zwecken – im Einzelfall eine eigenständige (uU ausschließliche) datenschutzrechtliche Verantwortlichkeit der natürlichen Person abgeleitet werden kann vergleiche etwa den Bescheid der DSB vom
5. November 2020, GZ: 2020-0.764.719). Während sich die diesbezügliche Judikatur jedoch in erster Linie auf die im Rahmen von Individualbeschwerdeverfahren nach Art. 77 Abs. 1 DSGVO iVm. § 24 Abs. 1 DSG geltend gemachte Verantwortlichkeit für Verletzungen der Rechte von Betroffenen (in erster Linie im Recht gem. § 1 Abs. 1 DSG) bezieht, ist Gegenstand des vorliegenden Verfahrens vielmehr die – gewissermaßen vorgelagerte – Melde- und Benachrichtigungsverpflichtungen der (möglicherweise bloß ursprünglichen) Verantwortlichen. Während sich die diesbezügliche Judikatur jedoch in erster Linie auf die im Rahmen von Individualbeschwerdeverfahren nach Artikel 77, Absatz eins, DSGVO in Verbindung mit Paragraph 24, Absatz eins, DSG geltend gemachte Verantwortlichkeit für Verletzungen der Rechte von Betroffenen (in erster Linie im Recht gem. Paragraph eins, Absatz eins, DSG) bezieht, ist Gegenstand des vorliegenden Verfahrens vielmehr die – gewissermaßen vorgelagerte – Melde- und Benachrichtigungsverpflichtungen der (möglicherweise bloß ursprünglichen) Verantwortlichen. Sinn und Zweck dieser Bestimmungen (Art. 33 und 34 DSGVO) ist nämlich in erster Linie die Prävention und Begrenzung möglich materieller und immaterieller Schäden für betroffene Personen (vgl. Martini in Paal/Pauly, Datenschutz-Grundverordnung

§ 7Abs.

1 der Verordnung des Gemeinderates), welche im gegenständlichen Verfahren durch den Magistrat der Stadt Wien vertreten ist (vgl. hierzu das Erkenntnis des BVwG vom

1. Mai 2020, GZ: W214 2228346-1). Wie den Feststellungen zu entnehmen ist, wurde die verfahrensgegenständlichen Daten der betroffenen Person (Patientin) im Rahmen einer medizinischen Behandlung in einer Krankenanstalt erhoben, welche vom „Wiener Gesundheitsverbund“ – als Unternehmung – betrieben wird. Dieser wiederum ist – wie den unter Punkt D.
2. zitierten Bestimmungen der WStV sowie der korrespondierenden Verordnung unzweideutig zu entnehmen ist – der Stadt Wien zuzuordnen vergleiche insb. die Weisungshoheit des Bürgermeisters

Paragraph 7, Absatz eins, der Verordnung des Gemeinderates), welche im gegenständlichen Verfahren durch den Magistrat der Stadt Wien vertreten ist vergleiche hierzu das Erkenntnis des BVwG vom

1. Mai 2020, GZ: W214 2228346-1). Vor diesem Hintergrund kommt die Datenschutzbehörde zum Ergebnis, dass für die im Rahmen der verfahrensgegenständlichen Krankenanstalt („Klinik ****“) verarbeiteten Daten die Stadt Wien als datenschutzrechtlich Verantwortliche – und im Sinne der obigen Ausführungen – als Melde- und ggf. Benachrichtigungsverpflichtete (zu Letzterem siehe Punkt D.3.) zu qualifizieren war. D.
2. Zur Benachrichtigungspflicht gegenüber der betroffenen Person Das Vorliegen einer Verletzung des Schutzes personenbezogener Daten durch den zweckwidrigen Zugriff auf Daten der betroffenen Person (Patientin) sowie die anschließende unbefugte Offenlegung durch die Mitarbeiterin der Verantwortlichen im Rahmen ihres Social-Media Profils (vgl. Punkt C.2.) steht außer Zweifel und wurde im Übrigen zu keinem Zeitpunkt von der Verantwortlichen, welche überdies eine ausdrücklich als solche bezeichnete Meldung gemäß Art. 33 Abs. 1 DSGVO erstattete, in Frage gestellt.Das Vorliegen einer Verletzung des Schutzes personenbezogener Daten durch den zweckwidrigen Zugriff auf Daten der betroffenen Person (Patientin) sowie die anschließende unbefugte Offenlegung durch die Mitarbeiterin der Verantwortlichen im Rahmen ihres Social-Media Profils vergleiche Punkt C.2.) steht außer Zweifel und wurde im Übrigen zu keinem Zeitpunkt von der Verantwortlichen, welche überdies eine ausdrücklich als solche bezeichnete Meldung gemäß Artikel 33, Absatz eins, DSGVO erstattete, in Frage gestellt. Eine Benachrichtigungspflicht der betroffenen Person nach Art. 34 Abs. 1 DSGVO besteht in jenen Fällen, in welchen voraussichtlich – somit im Sinne einer Prognoseentscheidung – ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen zu erwarten ist. Eine Benachrichtigungspflicht der betroffenen Person nach Artikel 34, Absatz eins, DSGVO besteht in jenen Fällen, in welchen voraussichtlich – somit im Sinne einer Prognoseentscheidung – ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen zu erwarten ist. Wie die Verantwortliche im Rahmen ihrer Stellungnahme selbst ausführte, bedeutet der Begriff „Akutgeriatrie“, dass eine betreuungsintensive (medizinische) Pflege erforderlich ist und war überdies eine konkrete medizinische Behandlung („Setzen eines Venflons“) ersichtlich. In diesem Zusammenhang ist daher anfänglich darauf hinzuweisen, dass es sich – entgegen dem Vorbringen im Rahmen der Folgeeingaben – bei den verfahrensgegenständlichen Informationen der betroffenen Person (Patientin) aus dem „elektronischen Dekurs“ sowohl nach dem – weit gefassten – Wortlaut des Art. 4 Z 15 DSGVO als auch nach der Spruchpraxis der Datenschutzbehörde (vgl. etwa den Bescheid der DSB vom
3. November 2020, GZ: 2020-0.743.659) unzweifelhaft um Gesundheitsdaten („Gesundheitsdienstleistungen“) handelt, welche nach dem Willen des Verordnungsgebers einer erhöhten Schutzwürdigkeit unterliegen sollen (vgl. Art. 9 Abs. 1 DSGVO).In diesem Zusammenhang ist daher anfänglich darauf hinzuweisen, dass es sich – entgegen dem Vorbringen im Rahmen der Folgeeingaben – bei den verfahrensgegenständlichen Informationen der betroffenen Person (Patientin) aus dem „elektronischen Dekurs“ sowohl nach dem – weit gefassten – Wortlaut des Artikel 4, Ziffer 15, DSGVO als auch nach der Spruchpraxis der Datenschutzbehörde vergleiche etwa den Bescheid der DSB vom
4. November 2020, GZ: 2020-0.743.659) unzweifelhaft um Gesundheitsdaten („Gesundheitsdienstleistungen“) handelt, welche nach dem Willen des Verordnungsgebers einer erhöhten Schutzwürdigkeit unterliegen sollen vergleiche Artikel 9, Absatz eins, DSGVO). Die Datenschutzbehörde hat bereits ausgesprochen, dass Sicherheitsverletzungen iZm Gesundheitsdaten in der Regel ein hohes Risiko darstellen (vgl. Bescheid der DSB vom
5. August 2018, GZ: DSB-D084.133/0002-DSB/2018). Die Datenschutzbehörde hat bereits ausgesprochen, dass Sicherheitsverletzungen iZm Gesundheitsdaten in der Regel ein hohes Risiko darstellen vergleiche Bescheid der DSB vom
6. August 2018, GZ: DSB-D084.133/0002-DSB/2018). Auch im Rahmen der bereits zitierten Guidelines 9/2022 des EDPB wird ausdrücklich darauf hingewiesen, dass gerade bei Gesundheitsdaten regelmäßig von einem hohen Risiko auszugehen sei und dieses nur in besonderen Ausnahmefällen ausgeschlossen werden könne (vgl. Guidelines 9/2022 des EDPB, Rn. 102 und 107 „nature, sensitivity, and volume of personal data“). Des Weiteren sei gerade bei medizinischen Daten zwischen einem „bloßen“ Verlust oder der – verfahrensgegenständlichen – Offenlegung gegenüber unberechtigten Dritten zu unterscheiden und sei bei Letzterer jedenfalls von einer erhöhten Schwere der Verletzung auszugehen (vgl. Guidelines 9/2022 des EDPB, Rn. 106 „type of breach“). Zu beachten sei ferner, ob die Daten – wie verfahrensgegenständlich betreffend die Mitarbeiterinnen und Mitarbeiter (vgl. Punkt C.3.) – verschlüsselt uÄ oder – wie verfahrensgegenständlich betreffend die Patientin – unverschlüsselt und aufgrund von Name und Adresse unmittelbar identifizierbar offengelegt worden seien (vgl. Guidelines 9/2022 des EDPB, Rn. 111-112 „Ease of identification of individuals“). Auch im Rahmen der bereits zitierten Guidelines 9 aus 2022, des EDPB wird ausdrücklich darauf hingewiesen, dass gerade bei Gesundheitsdaten regelmäßig von einem hohen Risiko auszugehen sei und dieses nur in besonderen Ausnahmefällen ausgeschlossen werden könne vergleiche Guidelines 9 aus 2022, des EDPB, Rn. 102 und 107 „nature, sensitivity, and volume of personal data“). Des Weiteren sei gerade bei medizinischen Daten zwischen einem „bloßen“ Verlust oder der – verfahrensgegenständlichen – Offenlegung gegenüber unberechtigten Dritten zu unterscheiden und sei bei Letzterer jedenfalls von einer erhöhten Schwere der Verletzung auszugehen vergleiche Guidelines 9 aus 2022, des EDPB, Rn. 106 „type of breach“). Zu beachten sei ferner, ob die Daten – wie verfahrensgegenständlich betreffend die Mitarbeiterinnen und Mitarbeiter vergleiche Punkt C.3.) – verschlüsselt uÄ oder – wie verfahrensgegenständlich betreffend die Patientin – unverschlüsselt und aufgrund von Name und Adresse unmittelbar identifizierbar offengelegt worden seien vergleiche Guidelines 9 aus 2022, des EDPB, Rn. 111-112 „Ease of identification of individuals“). Die Datenschutzbehörde übersieht dabei nicht, dass die Offenlegung für einen begrenzten Zeitraum und gegenüber einem beschränkten Personenkreis erfolgte. Dabei ist jedoch festzuhalten, dass nach allgemeiner Lebenserfahrung bereits ein kurzer Zeitraum dazu führen kann, dass Informationen – insbesondere durch deren einfache Weiterverbreitung im Onlinekontext – einer Vielzahl und besonders der Verantwortlichen unbekannter Personen (vgl. Guidelines 9/2022 des EDPB, Rn. 114, wonach die Unmöglichkeit der Einschätzung der Intentionen bei nicht bekannten Personen ein erhöhtes Risiko darstelle) zur Kenntnis gebracht wird. Die Datenschutzbehörde übersieht dabei nicht, dass die Offenlegung für einen begrenzten Zeitraum und gegenüber einem beschränkten Personenkreis erfolgte. Dabei ist jedoch festzuhalten, dass nach allgemeiner Lebenserfahrung bereits ein kurzer Zeitraum dazu führen kann, dass Informationen – insbesondere durch deren einfache Weiterverbreitung im Onlinekontext – einer Vielzahl und besonders der Verantwortlichen unbekannter Personen vergleiche Guidelines 9 aus 2022, des EDPB, Rn. 114, wonach die Unmöglichkeit der Einschätzung der Intentionen bei nicht bekannten Personen ein erhöhtes Risiko darstelle) zur Kenntnis gebracht wird. Abschließend ist noch darauf hinzuweisen, dass die Verantwortliche im Rahmen des vorliegenden Verfahrens keine (etwa geeigneten technischen oder organisatorischen) Maßnahmen im Sinne des Art. 34 Abs. 3 lit. a und b DSGVO anführte und alleine die anschließende Löschung des Social-Media Beitrags durch die Mitarbeiterin das potenzielle hohe Risiko nicht wesentlich vermindern mag. Ein unverhältnismäßiger Aufwand iZm der Benachrichtigung (lit. c leg. cit.) liegt ebenso wenig vor. Abschließend ist noch darauf hinzuweisen, dass die Verantwortliche im Rahmen des vorliegenden Verfahrens keine (etwa geeigneten technischen oder organisatorischen) Maßnahmen im Sinne des Artikel 34, Absatz 3, Litera a, und b DSGVO anführte und alleine die anschließende Löschung des Social-Media Beitrags durch die Mitarbeiterin das potenzielle hohe Risiko nicht wesentlich vermindern mag. Ein unverhältnismäßiger Aufwand iZm der Benachrichtigung (Litera c, leg. cit.) liegt ebenso wenig vor. Als Ergebnis ist daher festzuhalten, dass die Benachrichtigung der betroffenen Person (Patientin) nicht nur pro futuro zur Vermeidung weiterer Verletzung ihrer persönlichen Rechte und Freiheiten geeignet, sondern – aufgrund des festgestellten Risikopotenzials – überdies obligatorisch ist und der Verantwortlichen infolgedessen die Nachholung der Benachrichtigung gemäß Art. 58 Abs. 2 lit. e DSGVO aufzutragen war.Als Ergebnis ist daher festzuhalten, dass die Benachrichtigung der betroffenen Person (Patientin) nicht nur pro futuro zur Vermeidung weiterer Verletzung ihrer persönlichen Rechte und Freiheiten geeignet, sondern – aufgrund des festgestellten Risikopotenzials – überdies obligatorisch ist und der Verantwortlichen infolgedessen die Nachholung der Benachrichtigung gemäß Artikel 58, Absatz 2, Litera e, DSGVO aufzutragen war. In zeitlicher Hinsicht hat die Benachrichtigung betroffener Personen von der Verletzung grundsätzlich unverzüglich zu erfolgen (vgl. auch ErwGr. 86). Im konkreten Einzelfall erscheint die Benachrichtigung innerhalb einer Frist von zwei Wochen als angemessen. Betreffend die Art und Form wird der Vollständigkeit halber auf Art. 34 Abs. 2 DSGVO verwiesen. In zeitlicher Hinsicht hat die Benachrichtigung betroffener Personen von der Verletzung grundsätzlich unverzüglich zu erfolgen vergleiche auch ErwGr. 86). Im konkreten Einzelfall erscheint die Benachrichtigung innerhalb einer Frist von zwei Wochen als angemessen. Betreffend die Art und Form wird der Vollständigkeit halber auf Artikel 34, Absatz 2, DSGVO verwiesen. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2023:2023.0.046.014