Ausgewählte Entscheidungen der DSB
2021-0.404.151 (D124.4082), Unerlaubte Einsichtnahme in den elektronischen Impfpass
Im Bescheid vom 10. Juni 2021 GZ: 2021-0.404.151, hatte sich die DSB mit dem Vorwurf der unerlaubten Einsichtnahme einer Ärztin in den elektronischen Impfpass einer Betroffenen zu befassen.
Die Beschwerdegegnerin ist niedergelassene Ärztin und betreibt eine Ordination. Die Beschwerdegegnerin und die Beschwerdeführerin sind einander bekannt, da die Schwägerin der Beschwerdeführerin Mitarbeiterin der Beschwerdegegnerin ist. Die Mitarbeiterin der Beschwerdegegnerin teilte der Beschwerdegegnerin mit, dass am Wochenende eine Familienfeier geplant sei. Daraufhin nahm die Beschwerdegegnerin in den elektronischen Impfpass zu Daten der Beschwerdeführerin Einsicht.
Rechtfertigend führte die Beschwerdegegnerin aus, dass es ihr seit Beginn der Pandemie gelungen sei, Covid-19 Infektionen aus der Ordination fern zu halten. Nachdem mittlerweile bekannt sei, dass gehäuft Cluster nach Familienfeiern auftreten, habe sie für sich und ihre Mitarbeiterin durch die Abfrage des Impfpasses eine Risikoabschätzung durchgeführt. Die Beschwerdegegnerin stützte sich daher auf ein überwiegendes berechtigtes Interesse.
Bei den eingesehenen Daten handelt es sich jedoch um Gesundheitsdaten gemäß Art. 4 Z 15 DSGVO. Diese gelten gemäß Art. 9 Abs. 1 DSGVO als besondere Kategorie personenbezogener Daten und dürfen ausschließlich in den in Abs. 2 DSGVO genannten Fällen verarbeitet werden. Im Vergleich zu den Rechtfertigungstatbeständen des Art. 6 Abs. 1 DSGVO, fehlen die Zulässigkeitstatbestände der „Verarbeitung im berechtigten Interesse des Verantwortlichen oder eines Dritten“ (Art. 6 Abs. 1 lit. f DSGVO) und der „Verarbeitung zur Vertragserfüllung“ (Art.6 Abs.1 lit. b DSGVO).
Da der in Art. 6 Abs. 1 lit. f DSGVO befindliche Rechtfertigungsgrund nicht von Art. 9 Abs. 2 DSGVO umfasst ist, war die Berufung auf diesen Ausschlussgrund konsequenterweise unzulässig. Der Beschwerde wurde daher stattgegeben und festgestellt, dass die Beschwerdeführerin in ihrem Recht auf Geheimhaltung verletzt wurde.
Dieser Bescheid ist nicht rechtskräftig.
2021-0.119.956 (D124.1965), Das Recht auf Auskunft (Art. 15 DSGVO) umfasst zwar nicht die Übersendung von Akten, jedoch ein Recht auf die Beauskunftung der gesundheitsbezogenen Daten in Patientenakten
Die Beschwerdeführerin erhob Beschwerde gegen die Stadt Wien, vertreten durch die MA 63 und behauptete im Recht auf Auskunft verletzt zu sein, da ihr ihre gesundheitsbezogenen Daten (Patientenakten, Diagnosen, Untersuchungsergebnisse etc.) aus ihren Krankenhausaufenthalten nicht beauskunftet wurden. Die Beschwerdeführerin berief sich insbesondere auf ErwG. 63, 2. Satz DSGVO.
Die Beschwerdegegnerin führte aus, dass nach der DSGVO kein Recht bestehe, alle Pateientenakten vollinhaltlich als Kopie zu übermitteln. Darüber hinaus sei eine Kopie der Krankengeschichte gegen Kostenersatz gemäß § 17a Abs. 2 lit. g Wr. KAG möglich. Art. 15 DSGVO werde von den spezielleren Rechten aus dem Wr. KAG verdrängt, welche ihre europarechtlichen Fundierungen in der RL 2011/24/EU habe.
Die Datenschutzbehörde gab der Beschwerde statt und stellte eine Verletzung im Recht auf Auskunft fest, da sich in der Auskunft der Beschwerdegegnerin lediglich die Namen der Akten/Befunde und Therapien mit Datum befanden. Aus Art. 15 iVm. ErwGr. 63 2 Satz DSGVO lasse sich zwar kein Anspruch auf (kostenfreie) Herausgabe ganzer Dokumente ableiten, jedoch ein Anspruch auf die gesundheitsbezogenen Daten in Patientenakten, also Informationen wie beispielweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen.
Im Übrigen derogiert § 17a Abs. 2 lit.g Wr. KAG den Art. 15 DSGVO nicht, da die RL 2011/24/EU auf die RL 95/46/EG (nunmehr DSGVO) verweist, welche für die Verarbeitung personenbezogener Daten maßgeblich ist und das Wr. KAG kein spezielleres Auskunftsrecht ohne Kostenersatz normiert.
Dieser Bescheid ist rechtskräftig.
2021-0.017.641 (D124.2337) Überschießende Akteneinsicht im Rahmen eines Ermittlungsverfahrens der Staatsanwaltschaft
Mit Bescheid vom 11. März 2021 bejahte die Datenschutzbehörde abermals ihre Zuständigkeit gegenüber Staatsanwaltschaften und führte weitergehend aus, dass auch die einfachgesetzlichen Bestimmungen der StPO im Lichte der Verfassungsbestimmung des
§ 1 DSG sowie der unionsrechtlichen Datenminimierungspflicht auszulegen seien.
Ausgangspunkt des Beschwerdeverfahrens war ein einheitlich geführtes Ermittlungsverfahren, im Rahmen dessen die zuständige Staatsanwaltschaft dem Zweitbeschuldigten antragsgemäß vollständige Akteneinsicht (§ 51 StPO) gewährte. Dies beinhaltete unter anderem ein medizinisches Gutachten, welches aufgrund eines der Erstbeschuldigten vorgeworfenen Körperverletzungsdeliktes erstellt worden war, dabei jedoch in keinerlei sachlichem Zusammenhang mit der Tat des Zweitbeschuldigten stand. Die Datenschutzbehörde gab der infolgedessen erhobenen Beschwerde der Erstbeschuldigten wegen Verletzung im Recht auf Geheimhaltung statt und führte begründend aus, dass auch Datenverarbeitungen durch zuständige Strafverfolgungsbehörden ungeachtet einer gesetzlichen Grundlage stets auf ihre Verhältnismäßigkeit (Datenminimierungspflicht) zu prüfen seien.
Der Bescheid ist nicht rechtskräftig.
2020-0.436.002 (D124.909), Einstufungen von Betroffenen in Geo_Milieus zum Zwecke des strategischen Marketings sind ein Profiling iS von Art. 4 Z 4 DSGVO; eine Auskunftserteilung hat gemäß Art. 15 Abs. 1 lit. h DSGVO zu erfolgen und sollte die Eingangsvariablen, deren Gewichtung und eine Erklärung, weshalb Betroffenen ein bestimmtes Bewertungsergebnis zugeordnet wird, oder gleichwertige Informationen beinhalten, um dem Betroffenen die Rechte auf Richtigstellung und Löschung zu ermöglichen
Im Bescheid vom 8. September 2020, GZ: DSB-D124.909, 2020-0.436.002 hatte sich die Datenschutzbehörde mit dem Umfang eines Auskunftsanspruchs im Rahmen der sogenannten Geo_Milieus auseinanderzusetzen. Geo_Milieus sind, vereinfacht gesprochen, Einstufungen von Personen, basierend auf einer Wahrscheinlichkeitsrechnung zum Zwecke des strategischen Marketings. Derartige Einstufungen sind u.a. „Wahrscheinlichkeitswert_konservative“ (beschrieben als „Stark von christlichen Wertvorstellungen geprägt, hohe Wertschätzung von Bildung und Kultur, kritisch gegenüber aktuellen gesellschaftlichen Entwicklungen“) oder „Wahrscheinlichkeitswert_hedonisten“ (beschrieben als „Die momentbezogene, erlebnishungrige untere Mitte: Leben im Hier und Jetzt, Suche nach Spaß und Unterhaltung; Verweigerung von Konventionen der Mehrheitsgesellschaft“).
Der Beschwerdeführer hatte zwar Auskunft zu den - ihm zugeordneten - Wahrscheinlichkeitswerten und den Beschreibungen der zugeordneten Geo_Milieus erhalten, jedoch keine Angaben darüber, aufgrund welcher Parameter bspw. der „Wahrscheinlichkeitswert_konservative“ bei ihm 2,03% und der Wahrscheinlichkeitswert_hedonisten 9,28 % betrug. Der Beschwerdeführer relevierte daher eine unvollständige Auskunft, da der Adressverlag unter Berufung auf Betriebs- und Geschäftsgeheimnisse sich weigerte, nähere Auskunft zur Errechnung der Werte zu erteilen.
Die Datenschutzbehörde stellte zunächst fest, dass es sich bei Errechnung und Zuordnung der Geo_Milieus Wahrscheinlichkeiten um ein Profiling gemäß Art. 4 Z 4 DSGVO handelt, da im Rahmen einer automatisierten Verarbeitung insbesondere Aspekte bezüglich wirtschaftlicher Lage, persönlicher Vorlieben und Interessen eines Betroffenen analysiert, segmentiert und diesbezügliche Wahrscheinlichkeitswerte errechnet wurden.
Da Art. 15 Abs. 1 lit. h DSGVO vorsieht, dass bei Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person zu erteilen sind, weiters Art. 15 Abs. 1 lit. h DSGVO die spezifischen Auskunftsrechte nicht abschließend auf Art. 22 Abs. 1 und 4 DSGVO beschränkt, sondern diese Rechte durch das Wort zumindest („at least“) auch auf andere Fälle ausgedehnt sehen will, hat die Datenschutzbehörde eine Auskunftserteilung zum Zustandekommen der Geo_Milieus gemäß Art. 12 Abs. 1 iVm 15 Abs. lit. h DSGVO angeordnet. Es ist Betroffenen nur durch eine Auskunftserteilung letztlich der Eingangsvariablen, deren Gewichtung und einer Erklärung, weshalb Betroffenen ein bestimmtes Bewertungsergebnis zugeordnet wird, möglich, dass diese ihre Betroffenenrechte auf Richtigstellung und Löschung wahrnehmen können.
Demgegenüber treten auch Geschäfts- und Betriebsgeheimnisse des Adressverlages in den Hintergrund, da die im Verfassungsrang (§ 1 Abs. 3 DSG) stehenden bzw. auf EU-Primärrecht (Art. 8 EU-GRC) basierenden Rechte auf Auskunft und Richtigstellung gewichtiger zu bewerten und Ausnahmen der von den allgemeinen Bestimmungen der DSGVO eng auszulegen sind (vgl. EuGH C-311/18).
Das Begehren auf Offenlegung der vollständigen Berechnungsmethodik – wie vom Beschwerdeführer ebenfalls verlangt – wurde hingegen abgewiesen. Art. 15 Abs. 1 lit. h DSGVO spricht lediglich von „aussagekräftigen Informationen zur involvierten Logik und deren Auswirkungen“, nicht aber von der involvierten Logik selbst.
Dieser Bescheid ist rechtskräftig.
2021-0.258.447 (DSB-D124.2651), Entfernung des Personenbezugs als Mittel zur Löschung
Mit Bescheid vom 16. April 2021, GZ: 2021-0.258.447 hatte sich die Datenschutzbehörde mit einer Beschwerde gegen eine Immobilientreuhänderin wegen einer Verletzung im Recht auf Löschung auseinanderzusetzen.
Der Beschwerdeführer hatte mehrfach die Löschung seiner Daten begehrt, da er keine weiteren Zusendungen von der Beschwerdegegnerin erhalten wollte. Die Beschwerdegegnerin änderte dessen Namen in ihrer Personendatenbank auf Max Mustermann, ersetzte seine Anschrift mit einem Platzhalter, fügte zur Adresse einen Vermerk ein, wonach zu dieser Liegenschaft kein Grundbuchauszug mehr einzuholen sei und löschte sämtliche Korrespondenz mit diesem. Die Beschwerdegegnerin wandte sich jedoch neuerlich mit einem Schreiben zwecks Liegenschaftsakquise an den Beschwerdeführer.
Die DSGVO enthält keine Definition des Begriffs von Löschung iSv Art. 17 DSGVO und kommt die Entfernung des Personenbezugs grundsätzlich als Mittel zur Löschung in Betracht, jedoch muss eine Identifizierbarkeit auch unter Heranziehung zusätzlicher Mittel ausgeschlossen sein (vgl. ErwGr 26 DSGVO). Dies war gegenständlich nicht gegeben, konnte durch eine Grundbuchabfrage der Personenbezug doch wiederhergestellt werden. Überdies befand die Datenschutzbehörde die wiederholte Kontaktaufnahme zur Liegenschaftsakquise im Lichte ihrer Rsp als unrechtmäßig, weshalb der Tatbestand des Art. 17 Abs. lit. d DSGVO als erfüllt zu betrachten war und der Beschwerde stattgegeben wurde.
Der Bescheid ist nicht rechtskräftig.
