Text
GZ: 2021-0.119.956 vom 22. Februar 2021 (Verfahrenszahl: DSB-D124.1965)
[Anmerkung Bearbeiter: Der Name der Beschwerdegegnerin wird in diesem Bescheid wiedergegeben. Es handelt sich bei der Betroffenen um eine Körperschaft öffentlichen Rechts, deren Namen auch aus einer zitierten Rechtsvorschrift zwingend abgeleitet werden kann (das Wiener Krankenanstaltengesetz 1987 gilt nur im Land Wien, das wiederum nur aus einer einzigen Gemeinde, der Beschwerdegegnerin, besteht). Eine sinnvolle und sinnerhaltende Pseudonymisierung des Namens der Beschwerdegegnerin in dieser gemäß § 23 Abs. 2 DSG zu veröffentlichenden Entscheidung war daher nicht möglich.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde der mj. Corina A*** (Beschwerdeführerin), vertreten durch den Obsorgeberechtigten Dr. Gustav A***, vom 30. Dezember 2019 gegen die Stadt Wien (Beschwerdegegnerin), vertreten durch den Magistrat der Stadt Wien, wegen Verletzung im Recht auf Auskunft wie folgt:
1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Auskunft verletzt hat, indem sie der Beschwerdeführerin eine unvollständige Auskunft in Bezug auf ihre Krankengeschichte erteilt hat.
2. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von vier Wochen , die personenbezogenen Daten der Beschwerdeführerin in ihrer Krankengeschichte vollständig zu beauskunften.
3. Der Antrag auf Feststellung der Beschwerdeführerin, dass die von der Beschwerdegegnerin verlangte Vorlage einer Ausweiskopie rechtswidrig war, wird abgewiesen .
4. Der Antrag auf Feststellung der Beschwerdeführerin, dass es der Beschwerdegegnerin zumutbar gewesen wäre, eine Meldeauskunft selbst einzuholen wird abgewiesen.
Rechtsgrundlagen : Art. 5 Abs. 1 lit. e, Art. 9, Art. 15 Abs. 1, Abs. 2 und Abs. 3, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, § 18 Abs. 1 sowie § 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; § 17a Abs. 2 lit. g Wiener Krankenanstaltengesetz 1987 (Wr. KAG), LGBl. Nr. 19/1988 idgF
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit verfahrenseinleitender Beschwerde vom 30. Dezember 2019 führte die Beschwerdeführerin aus, von der Beschwerdegegnerin dadurch im Recht auf Auskunft verletzt worden zu sein, indem die Beschwerdegegnerin ihrem Antrag auf Auskunft vom 14. November 2019 nicht vollständig nachgekommen sei. Die Auskunft der Beschwerdegegnerin vom 12. Dezember 2019 habe nicht sämtliche Unterlagen über die Behandlung der Beschwerdeführerin im Krankenhaus N*** im Jahr 2019 beinhaltet. Sie habe gemäß Art 15 Abs. 3 DSGVO das Recht, eine Kopie der gespeicherten Daten zu bekommen. ErwGr. 63 habe hier explizit gesundheitsbezogene Daten (Patientenakten, Diagnosen, Untersuchungsergebnisse etc.) miteingeschlossen. Darüber hinaus bat die Beschwerdeführerin um Feststellung, dass die von der Beschwerdegegnerin verlangte Vorlage einer Ausweiskopie, obwohl bereits eine qualifizierte elektronische Unterschrift vorgelegt worden sei, nicht rechtens gewesen sei. Weiters bat sie um Feststellung, dass es der Beschwerdegegnerin zumutbar gewesen sei, eine weitere zusätzliche Meldeauskunft bei der MA 62 einzuholen.
2. Mit Eingabe vom 27. März 2020 nahm die Beschwerdegegnerin Stellung und führte zur Beschwerde aus, die in der Auskunft vom 12. Dezember 2019 enthaltenen personenbezogenen Daten seien sowohl eine Auskunft über die die Beschwerdeführerin betreffenden verarbeiteten personenbezogenen Daten (Art. 15 Abs. 1 DSGVO), als auch eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, im Sinne des Art. 15 Abs. 3 DSGVO. Das Auskunftsrecht nach Art. 15 Abs. 3 DSGVO beinhalte nur das Recht auf Übermittlung einer Kopie der über die betroffene Person gespeicherten personenbezogenen Daten, sohin eine Auflistung dieser, jedoch sei dies kein Anspruch auf Übersendung von ganzen Akten oder Aktenabschriften. Dementsprechend habe die Beschwerdeführerin nach der DSGVO kein Recht darauf, „alle Patientenakten […] vollinhaltlich als Kopie“ übermittelt zu erhalten.
Darüber hinaus bestehe für den Fall des Patientenakts die Möglichkeit der Einsicht in die Krankengeschichte bzw. auf Herstellung einer Kopie der Krankengeschichte gegen Kostenersatz gemäß § 17a Abs. 2 lit. g Wr. KAG. Das Auskunftsrecht nach Art. 15 DSGVO wird zudem nach dem Grundsatz lex specialis derogat legi generali von spezielleren Rechten aus dem Bereich des Auskunfts- aber auch Einsichtsrechts des Wr. KAG verdrängt.
Der hier vorliegende Bereich des Krankenanstaltenrechts, nämlich die Wahrnehmung der Patientenrechte, habe dabei eine europarechtliche Fundierung in der Richtlinie 2011/24/EU (siehe auch Füszl in Aigner/Kletečka/Kletečka-Pulker/Memmer , Handbuch Medizinrecht (2019) Kap. IV.1.10), weshalb neben der DSGVO ein weiterer Rechtsakt auf derselben Stufe bestanden habe. Die Besonderheit habe nur darin gelegen, dass die Richtlinie im Regelfall nicht unmittelbar anwendbar, sondern durch innerstaatliches Recht umsetzungsbedürftig sei. Dies habe jedoch nichts an der Gleichrangigkeit von EU-Verordnung und EU-Richtlinie (bzw. an den die EU-Richtlinie ausführenden nationalen Bestimmungen) geändert.
Insoweit sich die Beschwerde (implizit) auf Patientenakten in analoger Form bezogen habe, sei zu bemerken, dass Handakten nicht als Dateisystem iSd Art. 4 Z 6 DSGVO zu qualifizieren seien, weshalb die DSGVO (und folglich auch ihr Auskunftsrecht) diesbezüglich nicht anwendbar sei.
Zur beantragten Feststellung, ob das Verlangen einer Ausweiskopie rechtmäßig gewesen sei, führte die Beschwerdegegnerin aus, da der Beschwerdeführerin eine Auskunft iSd DSGVO erteilt worden sei, könne bloß dies Beschwerdegegenstand sein und nicht die Modalitäten.
3. Mit Eingabe vom 30. Juni 2020 verlangte die Beschwerdeführerin die Fortführung des Verfahrens und führte zusammengefasst aus, sie sei der Ansicht, die Regelungen der DSGVO seien als sekundäres Unionsrecht in der Normenhierarchie von einem höheren Rang als das Wr. KAG. Darüber hinaus gehe sie davon aus, dass sämtliche anfallende Akten, sofern diese nicht ohnehin elektronisch erfasst seien, aufgrund der gesetzlichen Pflichten strukturiert und sortiert seien müssen, womit die DSGVO weiterhin auch für diese Schriftstücke anwendbar sei.
4. Mit Eingabe vom Februar 2021 führte die Beschwerdegegnerin zu den Handakten aus, dass die in den Handakten vorhanden Informationen digital archiviert worden seien. Dementsprechend sei eine direkte Anwendbarkeit der DSGVO als (teil-)automatisierte Datenverarbeitung gegeben.
5. Mit Eingabe vom 16. Februar 2021 wiederholte die Beschwerdeführerin im Wesentlichen ihre vorigen Ausführungen.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Auskunft verletzt hat, indem sie dieser keine vollständige Auskunft über ihre gesundheitsbezogenen Daten bereitgestellt hat.
Weiters ist über die von der Beschwerdeführerin gestellten Anträge im Hinblick auf die Ausübung des Auskunftsrechts abzusprechen.
C. Sachverhaltsfeststellungen
1. Mit Antrag vom 14. November 2019 stellte der Obsorgeberechtigte der Beschwerdeführerin per E Mail den Antrag auf Auskunft über die personenbezogenen Daten der Beschwerdeführerin: (Formatierung nicht 1:1 widergegeben)
Dr. Gustav A*** als
als Obsorgeberechtigter von Corina A***
Email: ds***@***.at
L***straße 5*
**** N***
Magistrat der Stadt Wien
Datenschutzbeauftragter ***datenschutzbeauftragter@wien.gv.at
N***, am 14.11.2019
Betreff: Auskunftsbegehren gemäß Art. 15 DSGVO
Sehr geehrte Damen und Herren!
Als Obsorgeberechtigter gemäß § 177 ABGB meiner Tochter
Corina A***, Sozialversicherungsnummer 3**5 17**06
stelle ich hiermit gemäß § 158 ABGB sowie Art. 15 Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, DSGVO) einen Antrag auf Auskunft über die personenbezogenen Daten meiner Tochter im Zusammenhang mit ihrer Behandlung im Krankenhaus N***, I***gasse *7, 1**0 Wien im Jahr 2019.
a. Bitte stellen Sie mir kostenfrei eine Kopie aller im genannten Zusammenhang gespeicherten personenbezogenen Daten in einem gängigen elektronischen Format zur Verfügung.
Sie werden ersucht, alle anfallenden Daten zu beauskunften, die sich in sämtlichen Dateien befinden, und auch über Schlüssel-, Such- und Referenzbegriffe mit den personenbezogenen Daten direkt oder indirekt verknüpft werden können (Art 4 DSGVO).
Darunter fallen insbesondere, aber nicht nur: Sämtliche Daten aus der Patientenakte wie beispielsweise Diagnosen, Vermerke, Untersuchungsergebnisse (auch sämtlicher bildgebender Verfahren wie Röntgen oder MRT), OP-Protokolle, e-Journal Einträge, Befunde der behandelnden Ärzte, Angaben zu Behandlungen oder Eingriffen (sh. ErwGr 63 DSGVO).
b. Werden die Daten gemäß Art. 28 DSGVO verarbeitet, ersuche ich um die zusätzliche Angabe von Name und Anschrift Ihres Auftragsverarbeiters.
c. Betreiben Sie Verarbeitungen mit pseudonymisierten Daten oder sonstigen Datenverarbeitungen ohne Personenidentifizierung (Art 11 DSGVO)? Wenn ja, welche?
d. Bitte teilen Sie mir die Empfänger oder Kategorien von Empfängern, die meine Daten bereits erhalten haben oder künftig noch erhalten werden mit.
e. Sofern die Daten nicht direkt erhoben wurden, bitte ich Sie, mir alle verfügbaren Informationen über die Herkunft der Daten mitzuteilen.
Die Zusendung der Daten oder der Informationen zu deren Abruf mittels Fernzugang zu einem sicheren System richten Sie bitte an meine Email-Adresse: ds***@***.at.
Auskunftserteilungen müssen gemäß Art. 12 Abs. 3 DSGVO unverzüglich erfolgen, spätestens aber innerhalb eines Monats. Sollte ich innerhalb dieser Frist keine Auskunft von Ihnen erhalten, so werde ich mich an die zuständige Aufsichtsbehörde wenden. Wenn Sie der Meinung sind, dass Sie auf den Antrag nicht eingehen müssen, so haben Sie mich spätestens innerhalb eines Monats nach Eingang des Antrags über die Gründe dafür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen zu informieren.
Zur Bestätigung meiner Identität ist dieses Dokument mit einer qualifizierten elektronischen Unterschrift gemäß Art. 25 Abs. 2 der EU Verordnung Nr. 910/2014 (eIDAS) versehen, womit eine eindeutige Identifikation meiner Person und über die Ihnen vorliegenden Versicherungsdaten auch ein klarer Zusammenhang zu meiner bei mir mitversicherten Tochter hergestellt werden kann.
Weiters finden Sie beiliegend eine Abbildung der eCard meiner Tochter.
Sollten Sie dies wider erwarten als nicht ausreichend ansehen, so besteht die Möglichkeit, die Authentizität dieser Anfrage über die in Ihrer Patientenakte vermerkte und Ihnen somit bekannte Telefonnummer bestätigen zu lassen.
Mit freundlichen Grüßen
Dr. Gustav A***
(als Obsorgeberechtigter von Corina A***)
Anhang : Abbildung eCard
[Anmerkung des Sachbearbeiters: Die graphischen Dateien der Abbildungen (Vorder- und Rückseite) der eCard sowie die digitale Signatur wurden entfernt, da sie im RIS nicht dargestellt werden können.]
2. Am 19. November 2019 antwortete die Beschwerdegegnerin und verlangte vom Obsorgeberechtigten der Beschwerdeführerin einen aktuellen Melderegisterauszug als Nachweis der Vertretungsbefugnis sowie einen amtlichen Lichtbildausweis zur Identifizierung.
3. Am 20. November 2019 kam die Beschwerdeführerin der Aufforderung hinsichtlich des Meldezettels nach aber monierte die nicht gerechtfertigte Anforderung einer Ausweiskopie des Obsorgeberechtigten, da eine qualifizierte elektronische Signatur vorliege.
4. Am 26. November 2019 kam der Obsorgeberechtigte der Beschwerdeführerin den Anforderungen hinsichtlich der Ausweiskopie nach.
5. Am 12. Dezember 2019 sendete die Beschwerdegegnerin der Beschwerdeführerin folgende Auskunft: (Auszug, Formatierung nicht 1:1 widergegeben)
Magistrat der Stadt Wien
Auskunftsbegehren gem. Art 15 DSGVO
Sehr geehrter Herr Dr. A***,
Sie haben mit E-Mail vom 14.11.2019 an den Datenschutzbeauftragten für den Magistrat der Stadt Wien ein Auskunftsbegehren gemäß Art. 15 der Verordnung (EU) 2016/679 des europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO) gerichtet.
Inhalt Ihres Begehrens war es, Auskunft über die zu Ihrer minderjährigen Tochter Corina A*** im
Krankenhaus N*** in Zusammenhang mit ihrer Behandlung im Jahre 2019 verarbeiteten Daten zu erhalten.
Die Abteilung D*** Datenschutz*** ist nach der Geschäftseinteilung des Magistrats der Stadt Wien für die Koordinierung der Beantwortung von Auskunftsbegehren nach Art. 15 DSGVO zuständig, weswegen Ihr Ansuchen an diese weitergeleitet wurde.
Da diesem Begehren keine Kopie eines Identitätsnachweises beigefügt wurde und somit die Identität des Antragstellers nicht feststellbar war, wurden Sie mit Schreiben der Abteilung D***Datenschutz*** vom 19.11.2019 aufgefordert, einen Nachweis Ihrer Identität vorzulegen. Weiters wurden Sie ersucht, als Nachweis Ihrer Vertretungsbefugnis, einen aktuellen Melderegisterauszug von ihnen und Ihrer minderjährigen Tochter Corina A*** vorzulegen.
Dieser Aufforderung sind Sie mit E-Mail vom 26.11.2019 bzw. 28.11.2019 nachgekommen. Die Bearbeitung Ihres Auskunftsbegehrens war erst ab diesem Zeitpunkt möglich, der Fristenlauf gemäß Art 12 Abs. 3 war bis zu diesem Zeitpunkt gehemmt.
Eingangs wird festgehalten, dass sich das Auskunftsrecht gemäß Art. 2 Abs. 1 DSGVO nur auf die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert
Gesundheitsüberwachung am Arbeitsplatz (VGÜ) BGBl. II Nr. 27/1997;
Bundesgesetz über den Schutz der persönlichen Freiheit während des Aufenthalts in
Heimen und anderen Pflege- und Betreuungseinrichtungen (Heimaufenthaltsgesetz - HeimAufG), BGBl. I Nr. 11/2004 idgF;
Unterbringung psychisch Kranker in Krankenanstalten (Unterbringungsgesetz - UbG), BGBI. Nr. 155/1990 idgF.
I) Folgende Daten Ihrer Tochter scheinen im Rahmen der PatientInnenadministration in den Verarbeitungen auf:
Übersicht Stammdaten:
Patientenzahl: 36**19*
Nachname: A***
Vorname: Corina
Anrede: Frau
Geburtsdatum: 17.**.06
Geschlecht: weiblich
Staatsangeh.: Österreich
Übersicht Adressen:
Adressart: Hauptwohnsitz
Staat: Österreich
PLZ: **** N***
Strasse: L***straße 5*
Telefon: 06**38562***
Sonstige Patientendaten:
Familienstand: ledig
Sprache: Deutsch
Geburtsort: Wien
VSNR: 3**5 17**06
Dokumententyp: Führerschein des Vaters
DokumentNr: 07******34
Angehörige: Gustav A***
Versicherungsgruppe:0*.erwerbst/arb.los/selbstv/Asylw/Flücht
Art der Versicherung (A,S): Sozialversicherung
Versicherungsdaten:
KTR (=Kostenträger): 7*** Versicherungsanstalt für ***
Mitgliedsart: Mitversichert
Beruf: Schülerin
KTR für Sonderklasse/Mehrbett: ***Versicherung (Zusatzversicherung)
Mitgliedsart: Selbstversichert
Zweck der Verarbeitung:
Administrative Erfassung der PatientInnendaten zur eindeutigen Identifikation der zu behandelnden
Person für die medizinische Versorgung und zur Leistungsverrechnung gemäß § 17 Abs. 1 Wiener
Krankenanstaltengesetz 1987
Kategorie der verarbeiteten Daten:
Administrative PatientInnendaten
Dauer der Speicherung:
Mindestens 10 Jahre bei Daten aus ambulanten Betreuungen gemäß § 17 Abs. 2 Wiener
Krankenanstaltengesetz 1987.
Nach Abschluss der Krankengeschichte mindestens 30 Jahre bei Daten aus stationären
Aufenthalten gemäß § 17 Abs. 2 Wiener Krankenanstaltengesetz 1987.
Bis zu 30 Jahren gemäß § 16a Wiener Krankenanstaltengesetz 1987.
Die Patientlnnenstammdaten sind der Anknüpfungspunkt zu den medizinischen Dokumenten aller
weiteren Aufenthalte einer Patientin/eines Patienten.
Herkunft der Daten:
E-Card, Auskunft durch Patientin bzw. Angehörige
II) Information über ambulante Besuche und stationäre Krankenhausaufenthalte (chronologisch aufsteigend sortiert) Ihrer Tochter:
[Anmerkung des Sachbearbeiters: Die graphische Datei der Abbildung über die Zeiträume der stationären und ambulanten Aufenthalte im Spital mit der Benennung der Stationen wurde entfernt, da sie im RIS nicht dargestellt werden kann.]
III) Empfänger der Daten von I) und Il):
Für die Feststellung des Versicherungsanspruchs (ambulant wie stationär) wurden für die
Behandlungen im Jahr 2019 die Versicherungsnummer und E-Card-Nummer bzw. Polizzennummer
(beim stationären Aufenthalt) der Versicherungsanstalt für *** und der *** Versicherung bekanntgegeben.
IV) Erhebungsergebnis seitens der Kliniken und Institute:
In den medizinischen Abteilungen werden jeweils die Stammdaten (wie Name, Geburtsdatum, Geschlecht, Adresse,
Familienstand, Versicherungsträger) und sowie folgende spezifische Daten dokumentiert:
1) N*** Abteilung für Orthopädie und Unfallchirurgie
Besuche/Aufenthalte am:
Ambulanz Datum Zeit
Stationärer Aufenthalt:
Kinderbelegstation V*: stationärer Aufenthalt vom **.**.2019 bis zum **.**.2019
Dokumente ambulant: Dokument Datum
eJournal 2019****
Unfall/Orthopädie - OP-Vormerkung 2019****
eJournal 2019****
eJournal 2019****
Kassenrezept 2019****
eJournal 2019****
eJournal 2019****
eJournal 2019****
Dokumente stationärer Aufenthalt:
Dokument Datum
Externer Laborbefund (von Patientin 1*.**.2019
mitgebracht)
Externe OP-Freigabe (von Patientin
mitgebracht 2*.**.2019
Aufnahmebogen 2*.**.2019
Gewebeproben, Information zur Aufbe-
wahrung, Analyse und Weiterwendung
von Gewebe - Zell- und sonstigen Proben 2*.**.2019
Information für Patientinnen
betreffend Einwilligungserklärung 2*.**.2019
Übernahmebestätigung Patienteninfor-
mationsmappe inkl. Auskünfte zum
Gesundheitszustand 2*.**.2019
OP-Revers 2*.**.2019
Niederschrift Sonderklasse 2*.**.2019
OP-Sicherheitscheckliste Vereinfacht 2*.**.2019
Präoperative Checkliste 2*.**.2019
Patienteninformation Anästhesie 2*.**.2019
OP-Bericht 2*.**.2019
Implantat 2*.**.2019
Radiometer ABL 800 Flex (Blutanalyse) 2*.**.2019
Pflegeprozess 2*.**.2019
Kassenrezept 3*.**.2019
Dokumentation blande Wunden, Wund-
heilung, Drainagen, Katheder (PLL30) 3*.**.2019
Dokumentation blande Wunden, Wund-
heilung, Drainagen, Katheder (PLL30) 2*.**.2019 bis 2*.**.2019
Fieberkurve 2*.**.2019 bis 1*.**.2019
Verlaufsdokumentation Schmerz 2*.**.2019 bis 2*.**.2019
Verlaufsdokumentation Schmerz 2*.**.2019 bis 1*.**.2019
Herkunft der Daten:
Auskunft durch Ihre Person bzw. Angehörige
Empfänger der Daten:
Keine Empfänger
Beauftragung von Auftragsverarbeitern:
Keine Auftragsverarbeiter
2) N*** Abteilung für Physikalische Medizin, Rehabilitation und Arbeitsmedizin
Besuche/Aufenthalte am:
Ambulanz Datum Zeit
Physikalische Therapien LS 5L 2*.**.2019 10:49:00
Konsile Physikalische Med. 2*.**.2019 13:35:36
Physikalische Therapien LS 5L 2*.**.2019 13:36:00
Physikalische Therapien LS 5L 3*.**.2019 12:44:000
Konsile Physikalische Med 3*.**.2019 07:23:00
Physikalische Therapien LS 5L 0*.**.2019 10:02:00
6. Im laufenden Verfahren vor der Datenschutzbehörde reichte die Beschwerdegegnerin am 3. Februar 2021 noch folgende Informationen nach (Formatierung nicht 1:1 widergegeben):
Zu der beschwerdegegenständlichen Auskunft wird mitgeteilt, dass irrtümlich folgende vorhandenen Dokumente nicht angeführt wurden:
- Stationärer Patientenbrief 0*.**.2019
- *** Ambulanz Fragebogen 2*.**.2019
Beweiswürdigung : Beweise zum soweit nicht strittigen Sachverhalt wurden aufgenommen durch die Eingaben der Parteien, die im Akt aufliegen.
D. In rechtlicher Hinsicht folgt daraus:
Eingangs ist Folgendes festzuhalten:
Die Beschwerde richtet sich zwar gegen die „Stadt Wien, Abteilung D***“, meint aber offenkundig den Wiener Gesundheitsverbund als Betreiber des N*** Krankenhauses der Stadt Wien. Der Wiener Gesundheitsverbund ist eine unselbständige Unternehmung der Stadt Wien. Der Magistrat (die Abteilung D***) vertritt die Stadt Wien in Angelegenheiten des Datenschutzes, insbesondere vor der Datenschutzbehörde.
Daraus ergibt sich, dass die Beschwerdegegnerin die „Stadt Wien, vertreten durch den Magistrat der Stadt Wien“ ist. Die Unschärfe der Bezeichnung des ursprünglichen Beschwerdegegners ist aber der Beschwerdeführerin nicht zur Last zu legen (vgl. dazu auch das Erkenntnis des Bundesverwaltungsgerichts vom 27. Mai 2020, GZ W214 2228346-1 betr. „Wiener Wohnen“).
Ebenfalls ist eingangs festzuhalten, dass es sich bei den gegenständlich zur Beschwerdeführerin verarbeiteten Daten um Gesundheitsdaten nach Art. 4 Z 15 iVm Art. 9 Abs. 1 DSGVO handelt, weil diese Daten (ausschließlich) im Kontext der Krankengeschichte der Beschwerdeführerin verarbeitet werden (siehe dazu auch den Bescheid vom 19. November 2020, GZ: 2020-0.743.659).
1. 2. Zur Frage über die Richtlinie 2011/24/EU als lex specialis
Die Beschwerdeführerin verlangt als datenschutzrechtliche Auskunft die (kostenlose) Bereitstellung von Informationen, über die die Beschwerdegegnerin verfügt, konkret den Inhalt der Krankengeschichte.
Die Beschwerdegegnerin brachte vor, das Auskunftsrecht nach Art. 15 DSGVO sei nach dem Grundsatz lex specialis derogat legi generali von spezielleren Rechten aus dem Bereich des Auskunfts- aber auch Einsichtsrechts des Wr. KAG verdrängt worden, welches eine Kostenpflicht für die Patientenakten vorsehe . Der vorliegende Bereich des Krankenanstaltenrechts, nämlich die Wahrnehmung der Patientenrechte, habe dabei eine europarechtliche Fundierung in der Richtlinie 2011/24/EU.
Dieser Einwand verfängt schon deshalb nicht, weil gemäß Art. 2 lit. c dieser Richtlinie die Richtlinie 95/46/EG unberührt bleibt. Nach Art. 94 Abs. 2 DSGVO gelten Verweise auf die Richtlinie 95/46/EG als Verweise auf die DSGVO.
Schon aus diesem Grund kann nicht gesagt werden, dass die Richtlinie 2011/24/EU die DSGVO nach dem Grundsatz lex specialis derogat legi generali verdängt.
Abgesehen davon sieht Art. 4 Abs. 2 lit. f der Richtlinie 2011/24/EU vor, dass der Behandlungsmitgliedstaat den Anspruch behandelter Patienten auf Erstellung einer schriftlichen oder elektronischen Patientenakte über die Behandlung sowie – gemäß den und vorbehaltlich der nationalen Maßnahmen zur Umsetzung der Unionsvorschriften zum Schutz personenbezogener Daten, insbesondere der Richtlinien 95/46/EG und 2002/58/EG — auf Zugang zu mindestens einer Kopie dieser Akte, sicherzustellen hat.
Auch gemäß dieser – den Zugang zu Patientenakten ausdrücklich regelnden – Bestimmung sind die Vorgaben der DSGVO beachtlich.
Die Richtlinie 2011/24/EU wurde durch LGBl. Nr. 33/2014 unter anderem in § 17a Abs. 2 lit. g Wr. KAG umgesetzt.
Art. 15 DSGVO kennt keine dem § 26 Abs. 6 DSG 2000 gleichlautende Regelung, wonach das datenschutzrechtliche Auskunftsbegehren nur subsidiär zu anderen Einsichtsrechten ausgeübt werden kann. Vielmehr besteht das grundsätzliche Recht auf Auskunft gemäß Art. 15 DSGVO, soweit keine zulässige Beschränkung nach Art. 23 DSGVO vorliegt. Gilt hingegen eine speziellere materielle Regelung nach dem Unionsrecht, so geht diese nach dem Grundsatz lex specialis derogat legis generalis vor. Die DSGVO kann nicht dahingehend interpretiert werden, als regle sie die Betroffenenrechte abschließend. Vielmehr regelt die DSGVO, ihrem Anwendungsbereich entsprechend, die Betroffenenrechte in allgemeiner Weise, wobei es nicht ausgeschlossen ist, dass in anderen Rechtsakten der Union speziellere Regelungen zu den Betroffenenrechten vorgesehen sind (vgl. dazu den Bescheid vom 21. Juni 2018, GZ: DSB-D122.844/0006-DSB/2018).
Da im vorliegenden Fall § 17a Abs. 2 lit. g Wr. KAG (der in Umsetzung der Richtlinie 2011/24/EU erlassen wurde) gerade kein spezielles Auskunftsrecht (im Verhältnis zur DSGVO) ohne Kostenersatz normiert, kann dadurch auch auf das Recht auf allgemeine datenschutzrechtliche Auskunft über eigene Daten nicht beschränkt werden. Im Gegenteil, die genannte Richtlinie verweist – wie dargelegt – auf die Richtlinie 95/46/EG (nunmehr DSGVO), welche für die Verarbeitung personenbezogener Daten maßgeblich ist.
Aus alledem folgt, dass § 17a Abs. 2 lit. g Wr. KAG dem Art. 15 DSGVO nicht derogiert.
2. Zu Spruchpunkt 1 und 2
a) Grundsätzliches zu Art. 15 DSGVO
Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten sowie Anspruch auf die Informationen gemäß lit. a bis h leg. cit. Gemäß Art. 15 Abs. 3 DSGVO hat der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, dem Betroffenen zur Verfügung zu stellen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nicht anderes angibt.
Grundsätzlich hat die Beschwerdegegnerin also die von ihr verarbeiteten personenbezogenen Daten der Beschwerdeführerin zu beauskunften, soweit keine andere Ausnahme vom Auskunftsrecht besteht.
b.) Zum Recht auf Kopie (Art. 15 Abs. 3 DSGVO)
Der Anspruch auf Datenkopie nach Art. 15 Abs. 3 DSGVO besteht selbständig neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten gemäß Abs. 1 leg. cit. (vgl. Franck in Gola [Hrsg.], Datenschutz-Grundverordnung 2 Art 15 Rz 27).
Die Beschwerdeführerin vermeint zusammengefasst, Informationen über die Inhalte der Patientenakten , bzw. Auskunft über Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen, sohin im Wesentlichen eine Kopie der Krankengeschichte , über die Geltendmachung des Auskunftsrechts erhalten zu können.
Die Datenschutzbehörde hat unter Hinweis auf den ErwGr. 63 sowie das Urteil des EuGH vom 17. Juli 2014, YS u.a., C-141/12 und C-372/12, bereits ausgesprochen, dass sich aus Art. 15 Abs. 3 DSGVO kein Anspruch auf Herausgabe einer Kopie von Dokumenten , die personenbezogene Daten eines Auskunftswerbers enthalten, ableiten lässt. Unter Berufung auf Art. 15 Abs. 3 DSGVO ist es somit nicht möglich, die Herausgabe ganzer Urkunden zu verlangen, mögen darin auch personenbezogene Daten eines Auskunftswerbers aufscheinen (vgl. in diesem Sinne auch das Urteil des BG für Handelssachen Wien vom 7. Oktober 2019, GZ 18 C 263/19m betreffend Ausfolgung einer Versicherungspolizze). Art. 15 Abs. 3 DSGVO normiert lediglich das Recht auf Erhalt einer „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ (siehe dazu auch den Bescheid vom 10. August 2020, GZ: 2020-0.204.456 mwN).
Entgegen der Ansicht der Beschwerdeführerin lässt sich auch aus ErwGr. 63 nicht ableiten, dass Anspruch auf (kostenfreie) Herausgabe ganzer Dokumente besteht: Dort wird nämlich von „Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten“ gesprochen und nicht von „Daten von Patientenakten“.
Aus alledem ist abzuleiten, dass kein Recht auf Kopien der ganzen Patientenakten nach der DSGVO besteht, aber mittels eines Auskunftsbegehrens dennoch die Informationen des ErwGr. 63 2. Satz DSGVO in den Patientenakten begehrt werden können.
In der gesamten Auskunft der Beschwerdegegnerin befanden sich, außer den Namen der Akten/Befunde und Therapien mit Datum, jedenfalls keine vollständigen Informationen zu den gesundheitsbezogenen Daten der Beschwerdeführerin in den Patientenakten, wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte .
Unter Berücksichtigung der obigen Ausführungen kommt es demnach nicht darauf an, ganze Dokumente zu vervielfältigen und kostenlos zur Verfügung zu stellen; Art. 15 DSGVO garantiert aber dennoch Auskunft über diese Daten zu erhalten, sei es in Form eines Abdrucks (Faksimilie) oder sei es in Form einer Deskription des Inhaltes bzw. Kontextes, in dem personenbezogene Daten verarbeitet werden.
Die Auskunft hat jedenfalls präzise so zu erfolgen, dass die betroffene Person auf Basis dieser Auskunft ihre Rechte auf Löschung, Richtigstellung und ggf. Widerspruch geltend machen kann (vgl. noch zur Richtlinie 95/46/EG das Urteil des EuGH vom 7. Mai 2009, C-553/07, Rz 49 und 51).
Im Ergebnis hat die Beschwerdegegnerin daher jedenfalls unzureichend auf den Antrag auf Auskunft reagiert und es war ihr aufzutragen, der Beschwerdeführerin eine dem Art. 15 DSGVO entsprechende, vollständige Auskunft zu erteilen und die gesundheitsbezogenen Daten in den Patientenakten iSd. ErwGr. 63 2. Satz DSGVO der Beschwerdeführerin zu beauskunften.
Spruchpunkt 2 stützt sich auf Art. 58 Abs. 2 lit. c DSGVO. Die Einschränkung gemäß § 24 Abs. 5 DSG hat außer Betracht zu bleiben, weil diese in Art. 58 DSGVO keine Deckung findet (vgl. dazu BVwG vom 28. Mai 2020, GZ W211 221 6385-1).
Daher war spruchgemäß zu entscheiden.
Zu Spruchpunkt 3 und 4:
Die Beschwerdeführerin erhob Beschwerde wegen mangelhafter Auskunft und nicht wegen Nichterteilung der Auskunft.
Ziel des auf Art. 15 DSGVO gestützten Beschwerdeverfahrens ist es, Auskunft über die Verarbeitung personenbezogener Daten durch den Beschwerdegegner zu erhalten.
In Bezug auf den Antrag der Beschwerdeführerin auf Feststellung, dass die von der Beschwerdegegnerin verlangte Ausweiskopie, obwohl bereits eine qualifizierte elektronische Unterschrift vorgelegt wurde, nicht rechtens gewesen sei sowie, dass es der Beschwerdegegnerin zumutbar gewesen sei, eine weitere zusätzliche Meldeauskunft bei der MA 62 einzuholen, ist festzuhalten, dass aus Art. 77 DSGVO (iVm § 24 DSG) lediglich das Recht ableitbar ist, Beschwerde an eine Aufsichtsbehörde zu erheben und dadurch die Durchsetzung subjektiver Rechte – nötigenfalls mittels behördlichem Leistungsauftrag – zu ermöglichen. Ein Recht auf Feststellung, dass die Beschwerdegegnerin in der Vergangenheit vermeintlich rechtswidrig eine Ausweiskopie verlangt habe oder es ihr zumutbar gewesen sei, eine Meldeauskunft selbst einzuholen, ist aus dem Recht auf Auskunft gemäß Art. 15 DSGVO nicht ableitbar.
Ungeachtet dessen kann der Beschwerdegegnerin aber nicht entgegengetreten werden, nähere Informationen eingeholt zu haben, weil das Auskunftsbegehren – und damit auch die digital signierten Dokumente – nicht von der Beschwerdeführerin selbst stammen, sondern vom Obsorgeberechtigten. Die damit erbrachten Identitätsnachweise beziehen sich demnach ausschließlich auf ihn, nicht jedoch auf die Beschwerdeführerin und Auskunftswerberin.
Daher war spruchgemäß zu entscheiden.