{'item': '2025-0.625.944'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum21.08.2025 Geschäftszahl2025-0.625.944 Anfechtung beim BVwG/VwGH/VfGHDieses Straferkenntnis ist rechtskräftig. TextGZ: 2025-0.625.944 vom

1. August 2025 (Verfahrenszahl: DSB-D550.1155) [Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] Straferkenntnis Beschuldigte: Dr. Martha N***, geb. am **.**.197* Sie haben als Verantwortliche im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen:Sie haben als Verantwortliche im Sinne des Artikel 4, Ziffer 7, der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), Amtsblatt Nummer L 119 vom 04.05.2016 Seite 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen: Sie haben am 01.08.2024 von **:11 Uhr bis **:14 Uhr [Anmerkung Bearbeiter/in: genaue Zeitangaben aus Pseudonymisierungsgründen entfernt] (in der Folge „Tatzeitraum“), ausgehend von einem Endgerät in Ihrer Arztpraxis an der Adresse S***platz *4/*9, in **** Wien (in der Folge „Tatort“), unrechtmäßig und ohne legitimen Zweck besondere Kategorien personenbezogener Daten Ihrer ehemaligen Ordinationsassistentin, Frau Erika V*** (in der Folge „Betroffene“), verarbeitet, indem Sie insgesamt zwölf Mal auf die elektronische Gesundheitsakte (in der Folge „ELGA“) der Betroffenen zugegriffen haben. Im Rahmen der Zugriffe haben Sie e-Befunde und e-Medikationsdaten der Betroffenen abgefragt. Der Abfrage lag kein Konnex zu einer Behandlung zu Grunde und erfolgte ohne vorhergehenden Hinweis auf die Teilnehmerinnenrechte der Betroffenen sowie ohne ausreichende Sicherstellung durch technische Mittel, dass innerhalb von ELGA-Gesundheitsdiensteanbietern nur Personen zugreifen können, die in den konkreten Behandlungs- oder Betreuungsprozess der Betroffenen eingebunden waren. Verwaltungsübertretung nach: Art. 5 Abs. 1 lit. a und b sowie Art. 6 Abs. 1 und Art. 9 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgFArtikel 5, Absatz eins, Litera a, und b sowie Artikel 6, Absatz eins und Artikel 9, Absatz eins, in Verbindung mit Artikel 83, Absatz eins, und 5 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt: Geldstrafe von Euro falls diese uneinbringlich ist, Ersatzfreiheitsstrafe von gemäß € 1.000 60 Stunden Art 83 Abs. 5 DSGVO iVm § 16 Verwaltungsstrafgesetz 1991 – VStGArtikel 83, Absatz 5, DSGVO in Verbindung mit Paragraph 16, Verwaltungsstrafgesetz 1991 – VStG Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:Ferner haben Sie gemäß Paragraph 64, des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen: 100 Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro; - - - - - - - - - - Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher 1.100 Euro Zahlungsfrist: Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt], lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden. Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen. Begründung:
2. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest: 1.
3. Die Beschuldigte ist Fachärztin für „Innere Medizin (Kardiologie)“. Als solche ist sie beim KH U*** an der Adresse „J***-Straße, in **** L***burg“ für ein Ausmaß von 30 Stunden angestellt und betreibt eine Ordination an der Adresse „S***platz *4/*9, in **** Wien“ (in der Folge „Tatort“). 1.
4. Die Beschuldigte verwendet im Rahmen ihrer selbstständigen Arbeit am Tatort das Programm ***DocMed zur Speicherung von Daten von bei ihr behandelten Patienten bzw. Patientinnen (hierunter fallen u.a. Patientenbriefe, Medikation, die die Beschuldigte verordnet hat, sowie Befunde). Zusätzlich hat die Beschuldigte die Möglichkeit einen gewissen Zeitraum nach Stecken der e-Card eines Patienten bzw. einer Patientin Einsicht in die elektronische Gesundheitsakte (in der Folge „ELGA“) dieses bzw. dieser zu nehmen. 1.
5. Frau Mag. Erika V*** (in der Folge „Betroffene“) war im Zeitraum zwischen 01.04.2024 und 31.08.2024 in der Ordination der Beschuldigten als Ordinationsassistentin beschäftigt. Die Betroffene hatte im Rahmen ihrer Beschäftigung Zugang zu ELGA und zählte zu ihrer Hauptaufgabe unter anderem die Ausstellung wiederkehrender Rezepte mit Rücksprache der Beschuldigten. 1.
6. Im Hinblick auf die Ausstellung eines Rezeptes gibt es die Wahl zwischen der Ausstellung eines e-Rezeptes und einer e-Medikation. Beim e-Rezept ist das Stecken der e-Card nicht erforderlich, hier ist ausschließlich die Angabe der Versicherungsnummer notwendig und wird das Rezept nur auf der e-Card gespeichert. Bei der e-Medikation muss hingegen die e-Card gesteckt werden und wird das Rezept sowohl auf der e-Card als auch im ELGA gespeichert. 1.
7. Innerhalb des Beschäftigungszeitraums wurde die Betroffene von der Beschuldigten in Bezug auf medizinische Belange zwischen „Tür und Angel“ beraten. Nach Rücksprache mit der Beschuldigten war es der Betroffenen gestattet, sich selbst, im Namen der Beschuldigten e-Rezepte und e-Medikationen auszustellen. Hiervon machte die Betroffene Gebrauch und steckte die Betroffene in diesem Zusammenhang am 06.05.2024 ihre e-Card. Seitens der Betroffenen wurden keine e-Rezepte oder e-Medikationen ohne Wissen der Beschuldigten ausgestellt. Die Beschuldigte hatte auch keinen konkreten Verdacht dahingehend, dass die Betroffene im Namen der Beschuldigten e-Rezepte oder e-Medikamente ohne deren Wissen tatsächlich ausgestellt hat. 1.
8. Die Betroffene befand sich im Zeitraum von 29.07.2024 bis 07.08.2024 im Krankenstand. 1.
9. Am 01.08.2024, ab 13:11 Uhr (in der Folge „Tatzeit“) hat die Beschuldigte die zur Betroffenen im ELGA abgespeicherten e-Befunde und e-Medikationsdaten abgerufen. Die Abfrage erfolgte konkret in folgende e-Befunde: - G*** Entlassungsbrief vom 24.01.2023 - Routine-Endbefund vom 09.01.2023 - Allgemeiner Laborbefund vom 07.01.2023 - ME*** Notfallbericht vom 31.12.2022 - Notfall-Endbefund vom 31.12.2022 - F*** L vom 30.07.2018 - Notfall-Endbefund vom 28.10.
10. Das hierzu erstellte ELGA-Zugriffsprotokoll gestaltet sich wie folgt (Formatierung nicht 1:1 wiedergegeben): [Anmerkung Bearbeiter/in: Der an dieser Stelle im Original als Scan eines Papierdokuments in zwei Teilen wiedergegebene Auszug aus einem von einer ELGA-Ombudsstelle abgerufenen Zugriffsprotokoll konnte mit zumutbarem Aufwand nicht in ein Textdokument umgewandelt werden und wurde aus Pseudonymisierungsgründen entfernt. Er listet eine Reihe von der Beschuldigten zugerechneten Datenabfragen (e-Befunde, e-Medikationsdaten, ELGA-Abfragen) von Daten der Betroffenen auf.] (Abbildung 1: Seite 1 des vorgelegten ELGA-Zugriffsprotokoll vom
11. August 2024.) [Anmerkung Bearbeiter/in: wie zuletzt] (Abbildung 2: Seite 2 des vorgelegten ELGA-Zugriffsprotokoll vom
12. August 2024.) Die Beschuldigte hat die Befunde nicht aktiv durchgelesen. 1.
13. Die Betroffene hat in der Folge am 02.12.2024 eine Beschwerde bei der Datenschutzbehörde eingelegt. Das Verfahren wurde unter der GZ: D124.2691/24 geführt. Mit Bescheid vom 07.08.2025, GZ: D124.2691/24; 2025-0.332.391 hat die Datenschutzbehörde der Beschwerde stattgeben und festgestellt, dass die Beschuldigte die Betroffene dadurch in ihrem Recht auf Geheimhaltung nach § 1 DSG verletzt hat, indem diese ohne Zustimmung der Betroffenen Einsicht in deren ELGA und die darin gespeicherten e-Befunde und e-Medikationsdaten genommen hat. Der Bescheid ist zum Zeitpunkt der Beendigung des gegenständlichen Verwaltungsstrafverfahrens (noch) nicht rechtskräftig.Mit Bescheid vom 07.08.2025, GZ: D124.2691/24; 2025-0.332.391 hat die Datenschutzbehörde der Beschwerde stattgeben und festgestellt, dass die Beschuldigte die Betroffene dadurch in ihrem Recht auf Geheimhaltung nach Paragraph eins, DSG verletzt hat, indem diese ohne Zustimmung der Betroffenen Einsicht in deren ELGA und die darin gespeicherten e-Befunde und e-Medikationsdaten genommen hat. Der Bescheid ist zum Zeitpunkt der Beendigung des gegenständlichen Verwaltungsstrafverfahrens (noch) nicht rechtskräftig. 1.
14. Die Betroffene zeigte den verfahrensgegenständlichen Sachverhalt zudem bei der Österreichischen Ärztekammer an. Dieses Verfahren wurde unter der GZ: DK *6/2025/** geführt und wurde nach Angabe der Beschuldigten sanktionslos beendet. 1.
15. Mit Aufforderung zur Rechtfertigung vom 22.07.2025; GZ: D550.1155/2024-0.886.765 wurde das gegenständliche Verwaltungsstrafverfahren eingeleitet. Im Zuge dessen erschien die Beschuldigte anwaltlich vertreten am 06.08.2025 in den Räumlichkeiten der Datenschutzbehörde und rechtfertigte sich mündlich. Die Beschuldigte gab an, über die Anstellung der KH U*** ein Nettoeinkommen von ca. EUR 4.000 zu beziehen sowie über die Ordination am Tatort einen Gesamtjahresumsatz in Höhe von EUR 200.000 zu erzielen.
16. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen: 2.
17. Die getroffenen Feststellungen zu Punkt 1.
18. ergeben sich einerseits aus einer amtlichen Abfrage der Beschuldigten über die Österreichische Ärzteliste zur ÖÄK-Ärztenummer „*5*18-*1“ sowie aus den von der Beschuldigten im Rahmen ihrer mündlichen Rechtfertigung vom 06.08.2025 gemachten Angaben. 2.
19. Die getroffenen Feststellungen zu Punkt 1.
20. ergeben sich aus den nachvollziehbaren und glaubhaften Angaben der Beschuldigten im Rahmen ihrer mündlichen Rechtfertigung vom 06.08.
21. 2.
22. Die Feststellungen zu 1.
23. ergeben sich einerseits aus dem der Datenschutzbehörde vorliegenden Verwaltungsakt mit der GZ: D124.2691/24 sowie den im Rahmen der mündlichen Rechtfertigung vom 06.08.2025 getroffenen Ausführungen der Beschuldigten. Insbesondere der Aufgabenbereich der Betroffenen wurde anhand der Angaben der Beschuldigten festgestellt. 2.
24. Die getroffenen Feststellungen zu Punkt 1.
25. und 1.
26. ergeben sich aus den nachvollziehbaren und glaubhaften Angaben der Beschuldigten im Rahmen ihrer mündlichen Rechtfertigung vom 06.08.2025 sowie dem übereinstimmenden Akteninhalt zur GZ: D124.2691/
27. 2.
28. Die Feststellung zu 1.
29. ergibt sich aus der im Verwaltungsakt zu der GZ: D124.2691/24 vorliegenden „Krankenstandsbescheinigung“ der Österreichischen Gesundheitskasse vom 30.10.
30. 2.
31. Die Feststellungen zu 1.
32. im Hinblick auf die durch die Beschuldigten durchgeführten Abfragen ergibt sich aus den vorliegenden ELGA - Zugriffsprotokollen sowie dem im Rahmen des Beschwerdeverfahrens von der Betroffenen vorgelegten Dokumentenverzeichnis. Auch hat die Beschuldigte die Abfragen im Rahmen ihrer mündlichen Rechtfertigung vom 06.08.2025 zugegeben und legte insofern ein Geständnis ab. Die Feststellung, dass die Beschuldigte die e-Befunde nicht gelesen, im Sinn von sich nicht aktiv Kenntnis vom Inhalt verschafft hat, fußt auf der durchaus glaubwürdigen Angabe der Beschuldigten im Rahmen ihrer mündlichen Rechtfertigung und lässt sich auch aus dem zeitlichen Ablauf nachvollziehen. 2.
33. Die getroffenen Feststellungen zu 1.
34. fußen auf dem Verwaltungsakt des Administrativverfahrens mit der GZ: D124.2691/24 samt in dieser Sache ergangenen Bescheid vom 07.08.2025, GZ: D124.2691/24; 2025-0.332.
35. 2.
36. Die getroffenen Feststellungen zu Punkt 1.
37. ergeben sich aus den nachvollziehbaren und glaubhaften Angaben der Beschuldigten im Rahmen ihrer mündlichen Rechtfertigung am 06.08.
38. Auch gab die Betroffene im Rahmen ihrer Beschwerde in der Sache zur GZ: D124.2691/24 an, eine Anzeige bei der Österreichischen Ärztekammer zu machen. 2.
39. Die getroffenen Feststellungen zu 1.
40. ergeben sich aus dem gegenständlichen Verwaltungsstrafakt.
41. Rechtlich folgt daraus: 3.
42. Zur objektiven Tatseite Gegenständlich hat die Beschuldigte als Verantwortliche gemäß Art. 4 Z 7 DSGVO feststellungsgemäß am Tatort zur Tatzeit die zur Betroffenen im ELGA abgespeicherten e-Befunde und e-Medikationsdaten abgerufen.Gegenständlich hat die Beschuldigte als Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO feststellungsgemäß am Tatort zur Tatzeit die zur Betroffenen im ELGA abgespeicherten e-Befunde und e-Medikationsdaten abgerufen. Die Beschuldigte ist Gesundheitsdienstanbieterin gemäß § 2 Z 10 lit. a GTelG und die Betroffene ist ELGA-Teilnehmerin gemäß § 2 Z 12 GTelG.Die Beschuldigte ist Gesundheitsdienstanbieterin gemäß Paragraph 2, Ziffer 10, Litera a, GTelG und die Betroffene ist ELGA-Teilnehmerin gemäß Paragraph 2, Ziffer 12, GTelG. Bei den abgerufenen Daten handelt es sich unzweifelhaft um Gesundheitsdaten im Sinne des Art. 4 Z 15 DSGVO iVm § 2 Z 1 GTelG, weshalb in der Folge das strengere Rechtsregime des Art. 9 Abs. 2 DSGVO zu prüfen ist.Bei den abgerufenen Daten handelt es sich unzweifelhaft um Gesundheitsdaten im Sinne des Artikel 4, Ziffer 15, DSGVO in Verbindung mit Paragraph 2, Ziffer eins, GTelG, weshalb in der Folge das strengere Rechtsregime des Artikel 9, Absatz 2, DSGVO zu prüfen ist. Das „Abrufen“ selbst erfüllt in dem Zusammenhang bereits den weiten „Verarbeitungsbegriff“ des Art. 4 Z 2 DSGVO iVm § 14 Abs. 3 Z 2 GTelG. Das „Abrufen“ selbst erfüllt in dem Zusammenhang bereits den weiten „Verarbeitungsbegriff“ des Artikel 4, Ziffer 2, DSGVO in Verbindung mit Paragraph 14, Absatz 3, Ziffer 2, GTelG. Die Ansicht der Beschuldigten, dass eine Differenzierung zwischen dem „Einsehen“ und dem „Abrufen“ bestehe, geht in diesem Kontext hingegen fehl. So hat auch bereits das BVwG in einem ähnlich gelagerten Fall festgehalten, dass ein tatsächliches aktives Ansehen von Daten nicht erforderlich ist, vielmehr ist die bloße Möglichkeit der Kenntnisnahme zur Erfüllung des Verarbeitungsbegriffes ausreichend. Rechtlich ist irrelevant, ob man sich aktiv von den ausgelesenen Daten Kenntnis verschafft hat, zumal auch das bloße Auslesen oder der Abgleich von Daten eine Verarbeitung darstellt und die DSGVO hinsichtlich der Intensität oder Dauer nicht unterscheidet (vgl. Erkenntnis des BVwG vom 01.03.2023; GZ: W287 2260123-1/10E).Die Ansicht der Beschuldigten, dass eine Differenzierung zwischen dem „Einsehen“ und dem „Abrufen“ bestehe, geht in diesem Kontext hingegen fehl. So hat auch bereits das BVwG in einem ähnlich gelagerten Fall festgehalten, dass ein tatsächliches aktives Ansehen von Daten nicht erforderlich ist, vielmehr ist die bloße Möglichkeit der Kenntnisnahme zur Erfüllung des Verarbeitungsbegriffes ausreichend. Rechtlich ist irrelevant, ob man sich aktiv von den ausgelesenen Daten Kenntnis verschafft hat, zumal auch das bloße Auslesen oder der Abgleich von Daten eine Verarbeitung darstellt und die DSGVO hinsichtlich der Intensität oder Dauer nicht unterscheidet vergleiche Erkenntnis des BVwG vom 01.03.2023; GZ: W287 2260123-1/10E). Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung, um rechtmäßig iSd DSGVO zu sein, allen in Art. 5 Abs. 1 DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand bzw. Rechtsgrundlage nach Art. 6 Abs. 1 sowie im Zusammenhang mit sensiblen Daten zudem auf Art. 9 Abs. 2 DSGVO gestützt werden können (siehe bspw. EuGH vom 04.05.2023, C-60/22, Rz 56 und 57 sowie EuGH vom 21.12.2023, C-667/21, Rz 78).Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung, um rechtmäßig iSd DSGVO zu sein, allen in Artikel 5, Absatz eins, DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand bzw. Rechtsgrundlage nach Artikel 6, Absatz eins, sowie im Zusammenhang mit sensiblen Daten zudem auf Artikel 9, Absatz 2, DSGVO gestützt werden können (siehe bspw. EuGH vom 04.05.2023, C-60/22, Rz 56 und 57 sowie EuGH vom 21.12.2023, C-667/21, Rz 78). Nach Art. 9 Abs. 4 DSGVO können Mitgliedstaaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit u.a. die Verarbeitung von Gesundheitsdaten betroffen ist und damit die Anforderungen des Ausnahmekatalogs in Art. 9 Abs. 2 noch einmal verschärfen.Nach Artikel 9, Absatz 4, DSGVO können Mitgliedstaaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit u.a. die Verarbeitung von Gesundheitsdaten betroffen ist und damit die Anforderungen des Ausnahmekatalogs in Artikel 9, Absatz 2, noch einmal verschärfen. Der österreichische Gesetzgeber hat davon Gebrach gemacht und durch das Gesundheitstelematikgesetz Beschränkungen des ELGA-Zugriffs festgelegt. Mit diesen Bestimmungen sollen ELGA-Teilnehmer:innen der bestmögliche Schutz vor dem Abnötigen eines ELGA-Zugriffs und somit der Kenntnisnahme ihrer ELGA-Gesundheitsdaten geboten werden (vgl. 1936 der Beilagen XXIV. GP, S. 28).Der österreichische Gesetzgeber hat davon Gebrach gemacht und durch das Gesundheitstelematikgesetz Beschränkungen des ELGA-Zugriffs festgelegt. Mit diesen Bestimmungen sollen ELGA-Teilnehmer:innen der bestmögliche Schutz vor dem Abnötigen eines ELGA-Zugriffs und somit der Kenntnisnahme ihrer ELGA-Gesundheitsdaten geboten werden vergleiche 1936 der Beilagen römisch 24 . GP, S. 28). In § 14 Abs. 2 Z 1 lit. a GTelG wird geregelt, dass die durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten personenbezogen ausschließlich für Zwecke gemäß Art. 9 Abs. 2 lit. h DSGVO (Zwecke der Gesundheitsvorsorge oder Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigen, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich) von den:die ELGA-Teilnehmer:in behandelnden oder betreuenden ELGA-Gesundheitsanbietern verarbeitet werden dürfen. Die Bestimmung legt somit die Verarbeitungszwecke bereits ausdrücklich fest. In Contrario ist daher entsprechend dem Grundsatz der „Zweckbindung“ nach Art. 5 Abs. 1 lit. b DSGVO eine Verarbeitung für andere Zwecke unzulässig. In Paragraph 14, Absatz 2, Ziffer eins, Litera a, GTelG wird geregelt, dass die durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten personenbezogen ausschließlich für Zwecke gemäß Artikel 9, Absatz 2, Litera h, DSGVO (Zwecke der Gesundheitsvorsorge oder Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigen, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich) von den:die ELGA-Teilnehmer:in behandelnden oder betreuenden ELGA-Gesundheitsanbietern verarbeitet werden dürfen. Die Bestimmung legt somit die Verarbeitungszwecke bereits ausdrücklich fest. In Contrario ist daher entsprechend dem Grundsatz der „Zweckbindung“ nach Artikel 5, Absatz eins, Litera b, DSGVO eine Verarbeitung für andere Zwecke unzulässig. Als Zwischenergebnis kann daher festgehalten werden, dass der von der Beschuldigten verfolgte Zweck zur „Missbrauchskontrolle ohne konkrete Verdachtslage“ jedenfalls nicht umfasst ist. Darüber hinaus bringt die Beschuldigte vor, die Verarbeitung fuße auf einem Behandlungsvertrag, welcher zwischen der Betroffenen und ihr zustande gekommen sei. Art. 9 Abs. 2 lit. h DSGVO setzt entweder eine Rechtsgrundlage im Unionsrecht oder nationalen Recht oder das Vorliegen eines Vertrags mit einem Angehörigen eines Gesundheitsberufes voraus, die bzw. der eine entsprechende Verarbeitung von besonderen Kategorien personenbezogener Daten erfordert.Artikel 9, Absatz 2, Litera h, DSGVO setzt entweder eine Rechtsgrundlage im Unionsrecht oder nationalen Recht oder das Vorliegen eines Vertrags mit einem Angehörigen eines Gesundheitsberufes voraus, die bzw. der eine entsprechende Verarbeitung von besonderen Kategorien personenbezogener Daten erfordert. Auf Grund des ärztlichen Behandlungsvertrags schuldet der Arzt dem Patienten eine dem objektiven Standard des besonderen Fachs entsprechende Behandlung, nicht aber einen bestimmten Erfolg (RS0021335). Zwischen dem Arzt und dem Patienten liegt ein zivilrechtliches Verhältnis vor, der sogenannte ärztliche Behandlungsvertrag. Es handelt sich dabei um ein im Gesetz nicht näher typisiertes Vertragsverhältnis, welches Elemente des Beratungsvertrags umfasst (vgl. OGH 21.02.2023, 7 Ob 1/23g, ZfG 2023, 46).Auf Grund des ärztlichen Behandlungsvertrags schuldet der Arzt dem Patienten eine dem objektiven Standard des besonderen Fachs entsprechende Behandlung, nicht aber einen bestimmten Erfolg (RS0021335). Zwischen dem Arzt und dem Patienten liegt ein zivilrechtliches Verhältnis vor, der sogenannte ärztliche Behandlungsvertrag. Es handelt sich dabei um ein im Gesetz nicht näher typisiertes Vertragsverhältnis, welches Elemente des Beratungsvertrags umfasst vergleiche OGH 21.02.2023, 7 Ob 1/23g, ZfG 2023, 46). Als Gegenstand des jeweiligen Behandlungsfalls ist im Regelfall grundsätzlich ein bestimmter "Krankheitsfall" des Patienten anzusehen und nicht bloß ein einzelner Behandlungsabschnitt. Im Rahmen des ärztlichen Behandlungsvertrags schuldet der Arzt Diagnostik, Aufklärung und Beratung nach den aktuell anerkannten Regeln der ärztlichen Kunst (vgl. OGH 21.02.2023, 7 Ob 1/23g, ZfG 2023, 46).Als Gegenstand des jeweiligen Behandlungsfalls ist im Regelfall grundsätzlich ein bestimmter "Krankheitsfall" des Patienten anzusehen und nicht bloß ein einzelner Behandlungsabschnitt. Im Rahmen des ärztlichen Behandlungsvertrags schuldet der Arzt Diagnostik, Aufklärung und Beratung nach den aktuell anerkannten Regeln der ärztlichen Kunst vergleiche OGH 21.02.2023, 7 Ob 1/23g, ZfG 2023, 46). Zudem ist gemäß § 14 Abs. 3 Z 2 GTelG der Zugriff und die Verarbeitung von durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten ELGA-Gesundheitsdiensteanbietern, die nicht in die Behandlung oder Betreuung eines:einer ELGA-Teilnehmer:in eingebunden sind, verboten.Zudem ist gemäß Paragraph 14, Absatz 3, Ziffer 2, GTelG der Zugriff und die Verarbeitung von durch ELGA verfügbar gemachten ELGA-Gesundheitsdaten ELGA-Gesundheitsdiensteanbietern, die nicht in die Behandlung oder Betreuung eines:einer ELGA-Teilnehmer:in eingebunden sind, verboten. Gemäß Art. 14 Abs. 3a GTelG dürfen ELGA-Gesundheitsdiensteanbieter, die Arbeitgeber oder Beschäftiger und in die Behandlung oder Betreuung von ELGA-Teilnehmer:innen eingebunden sind, die ihre Arbeitnehmer:innen sind oder von ihnen beschäftigt werden, deren ELGA-Gesundheitsdaten nur dann verarbeiten, wennGemäß Artikel 14, Absatz 3 a, GTelG dürfen ELGA-Gesundheitsdiensteanbieter, die Arbeitgeber oder Beschäftiger und in die Behandlung oder Betreuung von ELGA-Teilnehmer:innen eingebunden sind, die ihre Arbeitnehmer:innen sind oder von ihnen beschäftigt werden, deren ELGA-Gesundheitsdaten nur dann verarbeiten, wenn
43. sie diese ELGA-Teilnehmer:innen zuvor ausdrücklich auf die Teilnehmer:innenrechte gemäß § 16 GTelG hingewiesen haben undsie diese ELGA-Teilnehmer:innen zuvor ausdrücklich auf die Teilnehmer:innenrechte gemäß Paragraph 16, GTelG hingewiesen haben und
44. durch technische Mittel sichergestellt haben, dass innerhalb von ELGA-Gesundheitsdiensteanbietern nur Personen auf ELGA-Gesundheitsdaten zugreifen können, die in den konkreten Behandlungs- oder Betreuungsprozess des jeweiligen ELGA Teilnehmers bzw. der jeweiligen ELGA-Teilnehmerin eingebunden sind. Neben der Verarbeitung besonderer Kategorien personenbezogener Daten für die in Art. 9 Abs. 2 lit. h DSGVO aufgezählten Zwecke muss die Verarbeitung gemäß Art. 9 Abs. 2 lit. h DSGVO erforderlich sein und zwar „wenn dies für das Erreichen dieser Zwecke im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt erforderlich ist“ (vgl. ErwG 53 S 1) sowie entsprechend Art. 9 Abs. 3 DSGVO durch Fachpersonal erfolgen.Neben der Verarbeitung besonderer Kategorien personenbezogener Daten für die in Artikel 9, Absatz 2, Litera h, DSGVO aufgezählten Zwecke muss die Verarbeitung gemäß Artikel 9, Absatz 2, Litera h, DSGVO erforderlich sein und zwar „wenn dies für das Erreichen dieser Zwecke im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt erforderlich ist“ vergleiche ErwG 53 S 1) sowie entsprechend Artikel 9, Absatz 3, DSGVO durch Fachpersonal erfolgen. Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags „erforderlich“ im Sinne dieser Bestimmung angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist (vgl. Erkenntnis des EuGH vom 04.07.2023, in der Rs C-252/21, Rz 98).Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags „erforderlich“ im Sinne dieser Bestimmung angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist vergleiche Erkenntnis des EuGH vom 04.07.2023, in der Rs C-252/21, Rz 98). Da die Betroffene zugleich Arbeitnehmerin der Beschuldigten ist, ist in der Folge eine Rechtfertigung nach § 14 Abs. 3a GTelG und Art. 6 Abs. 1 lit. b iVm Art. 9 Abs. 2 lit. h DSGVO zu prüfen.Da die Betroffene zugleich Arbeitnehmerin der Beschuldigten ist, ist in der Folge eine Rechtfertigung nach Paragraph 14, Absatz 3 a, GTelG und Artikel 6, Absatz eins, Litera b, in Verbindung mit Artikel 9, Absatz 2, Litera h, DSGVO zu prüfen. Zunächst ist festzuhalten, dass die Verarbeitung der Gesundheitsdaten im gegebene Kontext nicht erforderlich war, zumal die Abfrage losgelöst von einem konkreten „Krankheitsfall“, welcher durch die Beschuldigte behandelt wurde, erfolgte, so wurden e-Befunde die aus dem Zeitraum 2017 bis 2023 stammen abgerufen und war die Betroffene aufgrund eines gänzlich anderen „Krankheitsfalles“, der nicht in den Fachbereich der Beschuldigten fällt und von einem anderen Arzt behandelt wurde, zum Zeitpunkt der Abfrage in Behandlung. Eine konkrete Behandlung im Zusammenhang der Abfrage lag somit nicht vor. Selbst wenn man eine Abfrage im Kontext des Behandlungsvertrags annehmen würde, wären jedenfalls die oben genannten Kriterien 1) und 2) nicht erfüllt. Denn lag weder ein Hinweis auf die Teilnehmer:innenrechte nach § 16 vor, noch konnte die Beschuldigte Sicherheitsmaßnahmen im obigen Sinne darlegen. Vielmehr gab diese im Rahmen ihrer mündlichen Rechtfertigung am 06.08.2025 an, dass auch die andere Assistentin denselben ELGA Zugang habe, wie die Betroffene und sie selbst. So wäre es auch für diese grundsätzlich möglich gewesen über den Ordinationszugang eine Abfrage zur Betroffenen durchzuführen.Selbst wenn man eine Abfrage im Kontext des Behandlungsvertrags annehmen würde, wären jedenfalls die oben genannten Kriterien 1) und 2) nicht erfüllt. Denn lag weder ein Hinweis auf die Teilnehmer:innenrechte nach Paragraph 16, vor, noch konnte die Beschuldigte Sicherheitsmaßnahmen im obigen Sinne darlegen. Vielmehr gab diese im Rahmen ihrer mündlichen Rechtfertigung am 06.08.2025 an, dass auch die andere Assistentin denselben ELGA Zugang habe, wie die Betroffene und sie selbst. So wäre es auch für diese grundsätzlich möglich gewesen über den Ordinationszugang eine Abfrage zur Betroffenen durchzuführen. Die Beschuldigte scheitert daher auch sofern diese sich auf Art. 6 Abs. 1 lit. b DSGVO iVm Art. 9 Abs. 2 lit. h DSGVO sowie § 14 Abs. 3a GTelG stützt.Die Beschuldigte scheitert daher auch sofern diese sich auf Artikel 6, Absatz eins, Litera b, DSGVO in Verbindung mit Artikel 9, Absatz 2, Litera h, DSGVO sowie Paragraph 14, Absatz 3 a, GTelG stützt. Im Ergebnis hat die Beschuldigte als Verantwortliche die personenbezogenen (Gesundheits-)Daten bzw. sensiblen Daten der Betroffenen unrechtmäßig sowie zweckwidrig verarbeitet. Es liegt keine Rechtsgrundlage für die konkrete Verarbeitung vor und die Beschuldigte missachtete die Grundsätze der Datenverarbeitung. Die objektive Tatseite ist damit erfüllt. 3.
45. Zur subjektiven Tatseite Der EuGH hat festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68).Der EuGH hat festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können vergleiche EuGH vom 05.12.2023, C-807/21, Rz 68). Der EuGH stellt klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76).Der EuGH stellt klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76). Umgelegt auf den vorliegenden Fall bedeutet dies Folgendes: Die Beschuldigte hat die erfolgte Abfrage nicht bestritten. Hat jedoch angegeben, dass die Zugriffe auf die e-Befunde automatisch erfolgt seien und diese mit dem ELGA-System nicht so versiert sei, da sie als Privatärztin dieses System nicht so oft nutze. Zudem habe sie die e-Befunde nicht gelesen, im Sinn von sich vom Inhalt Kenntnis verschafft. Dies lässt sich auch aus dem zeitlichen Ablauf nachvollziehen. Im Lichte des als erwiesen angenommen Sachverhalts wird daher von der Datenschutzbehörde keine vorsätzliche Tathandlung durch die Beschuldigte angenommen. Im Lauf des Ermittlungsverfahrens ergaben sich jedenfalls keine Hinweise darauf, dass die Beschuldigte an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein Verschulden trifft. So hätte bereits ein Aufruf der Website der Datenschutzbehörde genügt, um sich vorweg über die notwendigen Voraussetzungen der Verarbeitung sensibler Daten sowie die Pflichten als Verantwortliche zu erkundigen (siehe beispielsweise folgende Seiten: https://dsb.gv.at/faqs/besondere-datenkategorien, https://dsb.gv.at/rechte-pflichten/ihre-pflichten-als-verantwortlicher). Dadurch ist die subjektive Tatseite ebenfalls erfüllt und es liegt Verschulden in Form von Fahrlässigkeit vor.
46. Zur Strafzumessung ist Folgendes festzuhalten: Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 5 DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000.Der Strafrahmen im konkreten Fall reicht gemäß Artikel 83, Absatz 5, DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.
47. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt: - Art, Dauer und Schwere des Verstoßes: Die Beschuldigte hat durch die gegenständliche Verarbeitung in das Grundrecht auf Geheimhaltung von der Betroffenen unrechtmäßig eingegriffen. Die Betroffene konnte darauf vertrauen, dass ihre sensiblen Daten im Rahmen der e-Medikations-Anwendung in ELGA von grundsätzlich befugten Personen bzw. zugelassen Ärzten nicht missbräuchlich, sondern ausschließlich nur im Rahmen der gesetzlichen Vorgaben des GTelG verarbeitet werden. Die Betroffene wurde durch den Eingriff in ihrem Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC verletzt (Art. 83 Abs. 2 lit. a und k DSGVO).Art, Dauer und Schwere des Verstoßes: Die Beschuldigte hat durch die gegenständliche Verarbeitung in das Grundrecht auf Geheimhaltung von der Betroffenen unrechtmäßig eingegriffen. Die Betroffene konnte darauf vertrauen, dass ihre sensiblen Daten im Rahmen der e-Medikations-Anwendung in ELGA von grundsätzlich befugten Personen bzw. zugelassen Ärzten nicht missbräuchlich, sondern ausschließlich nur im Rahmen der gesetzlichen Vorgaben des GTelG verarbeitet werden. Die Betroffene wurde durch den Eingriff in ihrem Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Artikel 7, und 8 EU-GRC verletzt (Artikel 83, Absatz 2, Litera a, und k DSGVO). - Kategorien personenbezogener Daten, die vom Verstoß betroffen sind: Im Konkreten Fall waren sensible Daten bzw. Gesundheitsdaten vom Verstoß betroffen (Art. 83 Abs. 2 lit. g DSGVO).Kategorien personenbezogener Daten, die vom Verstoß betroffen sind: Im Konkreten Fall waren sensible Daten bzw. Gesundheitsdaten vom Verstoß betroffen (Artikel 83, Absatz 2, Litera g, DSGVO). Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt: - Gegen die Beschuldigte lagen bis dato bei der Datenschutzbehörde keine einschlägigen Vorstrafen aufgrund von Verstößen gegen die DSGVO oder des DSG vor. - Mitwirkung im Verwaltungsstrafverfahren: Die Beschuldigte hat im Rahmen des Ermittlungsverfahrens mitgewirkt. Die Beschuldigte räumte überdies die Verletzung ein (Geständnis) und zeigte sich reuig (Art. 83 Abs. 2 lit. k DSGVO).Mitwirkung im Verwaltungsstrafverfahren: Die Beschuldigte hat im Rahmen des Ermittlungsverfahrens mitgewirkt. Die Beschuldigte räumte überdies die Verletzung ein (Geständnis) und zeigte sich reuig (Artikel 83, Absatz 2, Litera k, DSGVO). Die Beschuldigte verfügt über ein monatliches Nettoeinkommen in der Höhe von EUR 4.000 sowie jährlichen Umsatzeinnahmen in ihrer Ordination in Höhe von EUR 200.
48. Eines der wesentlichen Ziele der DSGVO ist gemäß Art. 1 Abs. 2 DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Art. 8 EU-GRC. Die Beschuldigte hat die Grundrechte der Betroffenen, wie oben ausgeführt, verletzt. Die Verhängung der konkreten Geldstrafe ist daher jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche, die auf die ELGA zugreifen können, im Zusammenhang mit missbräuchlichen Abfragen zu sensibilisieren.Eines der wesentlichen Ziele der DSGVO ist gemäß Artikel eins, Absatz 2, DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Artikel 8, EU-GRC. Die Beschuldigte hat die Grundrechte der Betroffenen, wie oben ausgeführt, verletzt. Die Verhängung der konkreten Geldstrafe ist daher jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche, die auf die ELGA zugreifen können, im Zusammenhang mit missbräuchlichen Abfragen zu sensibilisieren. Die Datenschutzbehörde geht davon aus, dass die Beschuldigte es künftig unterlassen wird, derartige Abfragen vorzunehmen, insbesondere auch aufgrund des durch die Ärztekammer durchgeführten Verfahrens. Daher liegen nach Ansicht der Datenschutzbehörde keine spezialpräventiven Gründe vor. Die konkret verhängte Geldstrafe in Höhe von EUR 1.000 erscheint daher im Lichte des verwirklichten Tatunwertes, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) in Verbindung mit dem Einkommen, Vermögen und Sorgepflichten der Beschuldigten tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens.Die konkret verhängte Geldstrafe in Höhe von EUR 1.000 erscheint daher im Lichte des verwirklichten Tatunwertes, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 5, DSGVO (hier bis zu EUR 20.000.000) in Verbindung mit dem Einkommen, Vermögen und Sorgepflichten der Beschuldigten tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens. Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen.Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß Paragraph 16, Absatz eins, VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Im Ergebnis ist die konkret verhängte Strafe für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO. Ein (noch) niedrigerer Betrag würde diesen Kriterien einer Geldbuße nicht (mehr) gerecht werden.Im Ergebnis ist die konkret verhängte Strafe für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Artikel 83, Absatz eins, DSGVO. Ein (noch) niedrigerer Betrag würde diesen Kriterien einer Geldbuße nicht (mehr) gerecht werden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.625.944