2021-0.301.680 – Datenschutzbehörde Entscheidung

GZ: 2021-0.301.680 vom 5. August 2021 (Verfahrenszahl: DSB-D124.3750)

[Anmerkung BearbeiterIn: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des mj. Kevin A*** (Beschwerdeführer), vertreten durch Mag. Rupert A***, vom 3. März 2021 gegen die Bezirkshauptmannschaft V*** (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt:

- Die Beschwerde wird als unbegründet abgewiesen .

Rechtsgrundlagen : Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; § 5 des Epidemiegesetzes 1950 (EpiG), BGBl. Nr. 186/1950 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit verfahrenseinleitender Eingabe vom 3. März 2021 sowie Verbesserung vom 23. März 2021 brachte der minderjährige Beschwerdeführer , vertreten durch seinen obsorgeberechtigten Vater, zusammengefasst vor, es habe in der Handelsakademie V*** dem Vernehmen nach einige positive Covid-Fälle bzw. Verdachtsfälle bestanden. Seitens der Handelsakademie V*** sei den Eltern mitgeteilt worden, dass die Beschwerdegegnerin mit den Schülern im Hinblick auf einen Covid-Test Kontakt aufnehmen werde. Die Beschwerdegegnerin habe die Handelsakademie V*** spätestens am 2. März 2021 aufgefordert, die Daten aller Schüler bekannt zu geben und wurde dieser Aufforderung entsprochen, wovon auch der Beschwerdeführer als Schüler betroffen sei. Diese Daten seien ohne Notwendigkeit ins epidemiologische Meldesystem eingetragen worden und seien seitens der Leitstelle D*** am 3. März 2021 SMS versendet worden, worin der Eingemeldete zu einer PCR-Testung eingeladen worden sei. Die Datenanforderung, -übermittlung sowie - verwendung durch die Behörden sei ohne gesetzliche Grundlage erfolgt; der Beschwerdeführer sei weder infiziert, erkrankt, ansteckungsverdächtig noch Kontaktperson und liege eine Verletzung im Recht auf Geheimhaltung vor.

2. Mit Stellungnahme vom 21. April 2021 führte die Beschwerdegegnerin zusammengefasst aus, dass es beginnend mit dem 24. Februar 2021 vermehrt zu SARS-CoV-2 positiven Laborbefunden bei Lehrpersonen und SchülerInnen der Handelsakademie V*** gekommen sei und seien diese Fälle der Beschwerdegegnerin als Gesundheitsbehörde entsprechend § 2 EpiG angezeigt worden. Es seien zwischen dem 24. und 28. Februar 2021 sechs positive Laborbefunde und am 2. März 2021 vier weitere eingelangt und haben diese verschiedene Schulklassen und Stockwerke betroffen, sodass der Ausgang bzw. die Quelle nicht rückverfolgbar gewesen sei. Anstelle der ebenfalls erwogenen Schulschließung sei demnach seitens der Beschwerdegegnerin als Gesundheitsbehörde neben den direkt ermittelten Kontaktpersonen (Kat. 1 und Kat. 2) den übrigen SchülerInnen, LehrerInnen sowie dem Verwaltungspersonal eine freiwillige PCR-Testung angeboten worden. Zu diesem Zweck seien die Daten – konkret Vor- und Nachname, Geburtsdatum, Anschrift und Mobiltelefonnummer – übermittelt worden. Diese Daten seien jedoch nicht in das Register der anzeigepflichtigen Krankheiten gemäß § 4 Epidemiegesetz (epidemiologischen Meldesystem – EPS) oder in ein anderes Aktenverwaltungssystem eingespeist worden, sondern direkt in den von der 1450 - Gesundheitsberatung (Amt der D*** Landesregierung/Leitstelle D***) betriebenen Webtool zur organisatorischen Abwicklung der Testungen auf SARS-CoV-2 von 1450. Die Zugriffsmöglichkeit der Beschwerdegegnerin habe mit der Eingabe geendet und haben die Personen per SMS eine Verständigung betreffend Termin und Ort für eine freiwillige Testung auf SARS-CoV-2 erhalten.

Das Angebot der freiwilligen Testungen stütze die Beschwerdegegnerin auf die in § 5 Abs. 1 EpiG enthaltenen Verpflichtungen. Bei diesen Erhebungen sei das Angebot der freiwilligen Testungen bei dem restlichen SchülerInnen etc. notwendig gewesen, um allenfalls die Quelle des Infektionsgeschehens zu ermitteln sowie erforderlichenfalls weitere Vorkehrungen zur Verhütung und Bekämpfung anzeigepflichtiger Krankheiten iSd §§ 6 ff EpiG zu treffen.

Die Datenverarbeitung betreffend den Beschwerdeführer sei daher rechtmäßig erfolgt; es bestehe eine Pflicht der Schule, Auskunft über Verdachtsfälle und Infektionen nach Art. 9 Abs. 2 lit. i DSGVO i.V.m. § 5 Abs. 3 EpiG der Beschwerdegegnerin als Gesundheitsbehörde zu erteilen. Im Falle eines Verdachts auf Covid-19 habe die Schule die Beschwerdegegnerin zu informieren sowie bei Kontaktpersonenerhebung und –klassifizierung zu unterstützen.

Festgehalten werde, dass eine vom Beschwerdeführer behauptete Speicherung seiner personenbezogenen Daten im EMS nicht stattgefunden habe. Die Veranlassung habe auf Art. 9 Abs. 2 lit. i DSGVO iVm § 10 DSG iVm § 5 EpiG beruht und sei die Bekämpfung der Ausbreitung des Corona-Virus aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit erforderlich. Das Webtool der telefonischen Gesundheitsberatung 1450 diene dabei der Organisation der Testung, welche freiwillig und als Hilfeleistung an die unmittelbar betroffenen Personen zu verstehen sei. Auch entsprechend der Denkmöglichkeitsjudikatur sei die Verarbeitung solcher Daten rechtmäßig: Sei es denkmöglich, dass die von einer in der Sache zuständigen Behörde ermittelten Daten nach Art und Inhalt für die Feststellung des relevanten Sachverhalts geeignet seien, sei die Zulässigkeit der Ermittlung aus datenschutzrechtlicher Sicht gegeben.

3. Mit Stellungnahme des Beschwerdeführers , vertreten durch seinen obsorgeberechtigten Vater, vom 23. April 2021, führte dieser zusammengefasst aus, dass zu ergänzen sei, dass die Datenweitergabe auf Aufforderung der Beschwerdegegnerin erfolgt sei. Dass die Daten nicht in das EMS eingepflegt worden seien, erschließe sich für einen unkundigen Betrachter nicht direkt; möge aber durchaus so sein. Demnach werde die verfahrensgegenständliche Beschwerde dahingehend abgeändert, dass durch die Anforderung der Daten des Beschwerdeführers sowie der Eintragung dieser Daten in das Webtool zur organisatorischen Abwicklung von Testungen eine Datenschutzübertretung begangen worden sei. Die Beschwerdegegnerin stelle die Sachlage derart dar, als sei die gegenständliche Datenanforderung unumgänglich gewesen. Bei den Personen habe es sich jedoch weder um Personen die krank, krankheitsverdächtig oder ansteckungsverdächtig seien und sohin nicht um Personen der Kat. 1 oder Kat. 2. Inwiefern die Beschwerdegegnerin sohin die Quelle eines Infektionsgeschehens ermitteln könne, erschließe sich dem Beschwerdeführer nicht. Eine Notwendigkeit sei nicht ersichtlich; insbesondere auch weil es sich um freiwillige Testungen gehandelt habe. Die Abklärung im gegenständlichen Fall sei aus keinem Verdacht heraus geboten gewesen und nicht zur Bekämpfung der Ausbreitung des Corona-Virus erforderlich gewesen. Auch die angeführte Judikatur vermöge das Handeln der Beschwerdegegnerin nicht zu rechtfertigen; der Beschwerdeführer sei bloß als Gesunder aufgeschienen und die Verarbeitung nicht zulässig. Eine einfache Information betreffend die Testung wäre ebenso ausreichend gewesen.

B. Beschwerdegegenstand

Ausgehend vom Vorbringen des Beschwerdeführers ist Beschwerdegegenstand die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem sie die Daten des Beschwerdeführers bei der Handelsakademie V*** erhoben und in weiterer Folge in das Webtool zur organisatorischen Abwicklung der Testungen auf SARS-CoV-2 eingetragen hat.

C. Sachverhaltsfeststellungen

Der Beschwerdeführer ist Schüler der Handelsakademie V***. An dieser Schule kam es ab dem 24. Februar 2021 vermehrt zu positiv bestätigten Infektionsfällen mit SARS-CoV-2, die verschiedene Schulklassen und Stockwerke betrafen, sodass die Quelle nicht rückverfolgbar war. Die Beschwerdegegnerin hat von der Handelsakademie V*** Name, Geburtsdatum, Anschrift und Mobiltelefonnummer aller Schüler, Lehrpersonen und des Verwaltungspersonals angefordert – darunter die des Beschwerdeführers. Diese Daten wurden in weiterer Folge von der Beschwerdegegnerin in das Webtool zur organisatorischen Abwicklung der Testungen auf SARS-CoV-2 von 1450 - Gesundheitsberatung im Amt der D*** Landesregierung/Leitstelle D*** - eingetragen. Der Beschwerdeführer hat in weiterer Folge am 3. März 2021 eine SMS mit dem Angebot erhalten, an einer freiwilligen PCR-Testung auf SARS-CoV-2 teilzunehmen. Der Beschwerdeführer wurde im Zusammenhang mit den positiven SARS-CoV-2 Fällen nicht als Kontaktperson zu einer infizierten bzw. positiv getesteten Person eingestuft.

Beweiswürdigung : Die Feststellungen gründen auf dem übereinstimmenden Vorbringen der Verfahrensparteien.

D. In rechtlicher Hinsicht folgt daraus:

1. Zur Anwendbaren Rechtsgrundlage

1. § 1 Abs. 1 DSG legt fest, dass jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit ein schutzwürdiges Interesse daran besteht. Gemäß § 1 Abs. 2 DSG kann eine Beschränkung des Anspruchs auf Geheimhaltung im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgen, ansonsten nur zur Wahrung überwiegender berechtigter Interessen eines anderen, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen , die aus den in Art 8 Abs. 2 EMRK genannten Gründen notwendig sind.

2. Bei der Beschwerdegegnerin handelt es sich um eine Bezirksverwaltungsbehörde und ist diese zur Vollziehung des § 5 EpiG – sohin einer öffentlichen Aufgabe - zuständig. Insoweit kommt - wie oben ausgeführt - ausschließlich eine qualifizierte gesetzliche Grundlage als Erlaubnistatbestand in Betracht.

Im gegenständlichen Fall ist der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet, da sich die Informationen gemäß Art. 4 Z 1 DSGVO auf den Beschwerdeführer beziehen.

Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB D123.076/0003-DSB/2018).

3. Die Beschwerdegegnerin führt aus, die gegenständliche Datenverarbeitung beruhe auf der in § 5 Abs. 1 EpiG enthaltenen Verpflichtung.

Dieser Ansicht ist nicht entgegenzutreten.

Der Wortlaut von § 5 Abs. 1 EpiG stellt – anders als etwa der Wortlaut von § 5c Abs. 1 – nicht darauf ab, ob eine krankheitsverdächtigte Person unmittelbar Kontakt mit einer kranken Person hat oder nicht. Der Wortlaut stellt vielmehr auf Kranke, Krankheitsverdächtige oder Ansteckungsverdächtige ab. Solange die Quelle einer Krankheit nicht ermittelt wurde, ist es auch nicht möglich, exakt festzustellen, wer mit wem Kontakt hatte und somit als Überträger in Frage kommt. Der Ermittlung der Quelle bzw. nachweislich kranker Personen dient jedoch die Vorgangsweise nach § 5 EpiG.

§ 5 Abs. 1 EpiG räumt der Behörde einen weiten Ermessensspielraum ein.

Es kann nicht gesagt werden, dass die Beschwerdegegnerin bei der Verarbeitung der Daten des Beschwerdeführers diesen Ermessensspielraum überschritten hat: In der Schule des Beschwerdeführers kam es nachweislich zu einem Ausbruch von COVID-19, wobei dieser Ausbruch unterschiedliche Klassen und Stockwerke betraf und die Quelle nicht festgestellt werden konnte. Angesichts dessen kann es nicht als unverhältnismäßig gewertet werden, alle in Betracht kommenden Schüler zu einem PCR-Test einzuladen sowie Ansteckungsverdächtige zu identifizieren und Kranke abzusondern, um eine weitere Ausbreitung von COVID-19 zu verhindern.

Die Beschwerde war daher spruchgemäß abzuweisen.