Source: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=f8d6e103-04bd-4d59-9fa8-325176d9326e&Position=1&Abfrage=Dsk&Entscheidungsart=Undefined&Organ=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=25.05.2018&BisDatum=30.06.2018&Norm=&ImRisSeitVonDatum=&ImRisSeitBisDatum=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=DSBT_20180604_DSB_D122_831_0003_DSB_2018_00
Timestamp: 2019-08-17 23:11:18+00:00

Document:
RIS - DSB-D122.831/0003-DSB/201... - Entscheidungstext - Datenschutzbehörde
Entscheidungstext DSB-D122.831/0003-DSB/201...
DSB-D122.831/0003-DSB/2018
DSGVO Art5 Abs1 lita impl
DSGVO Art5 Abs1 litb impl
DSGVO Art6 Abs1 impl
GZ: DSB-D122.831/0003-DSB/2018 vom 4.6.2018
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde der Frau Nora A*** (Beschwerdeführerin) vom 20. Dezember 2017 gegen den Magistrat der Stadt Wien – MA 63 (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt:
 Der Beschwerde wird stattgegeben und es wird festgestellt, dass der Beschwerdegegner die Beschwerdeführerin dadurch in ihrem Recht auf Geheimhaltung verletzte, indem es unerlaubte Zugriffe zumindest am 28. November 2016 (Zeit: 14:10:10), am 3. Jänner 2017 (Zeit: 08:44:47), 28. März 2017 (Zeit: 18:46:28 und 20:56:21) und am 12. April 2017 (Zeit: 09:05:51) auf ihren elektronischen Gesundheitsakt (ihre elektronische Krankengeschichte) gab.
Rechtsgrundlagen: §§ 1, 24 und 69 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 57 Abs. 1 lit. f und Art. 77 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 S. 1.
1. Die Beschwerdeführerin, die Mitarbeiterin im Krankenhaus **** Wien, **** Institut, ist, wandte sich mit einer Eingabe betreffend Beschwerde gemäß § 31 Abs. 2 DSG 2000 (idF BGBl. I Nr. 83/2013) vom 20. Dezember 2017 an die Datenschutzbehörde und führte darin aus, dass ohne dienstliche Notwendigkeit Zugriffe auf ihre Daten in ihrem elektronischen Gesundheitsakt stattgefunden hätten, die unberechtigt seien.
2. Die Datenschutzbehörde leitete aufgrund der Eingabe der Beschwerdeführerin ein Beschwerdeverfahren zur GZ D122.831 ein und forderte den Beschwerdegegner mit Schreiben vom 15. Jänner 2018 zur Stellungnahme auf.
3. Der Beschwerdegegner teilte mit Schreiben vom 6. Februar 2018 mit, dass nach Auswertung der Zugriffsprotokolle nicht plausible Zugriffe auf den elektronischen Gesundheitsakt der Beschwerdeführerin und in weiterer Folge deren Unzulässigkeit festgestellt wurden. Eine Befassung der Personalabteilung mit diesem Sachverhalt sei eingeleitet worden.
4. Die Datenschutzbehörde gewährte der Beschwerdeführerin mit Schreiben vom 13. Februar 2018 Parteiengehör.
5. Die Beschwerdeführerin hat innerhalb der Frist in diesem Verfahren nicht geantwortet.
Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner die Beschwerdeführerin dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem es unberechtigte Zugriffe auf ihren elektronischen Gesundheitsakt gab.
2. Die Beschwerdeführerin ersuchte am 26. November 2017 per E-Mail an den Datenverantwortlichen des Krankenhauses **** Wien um Auskunft, wer ab dem Zeitraum 09/2015 auf ihre Daten zugegriffen habe:
Diese Feststellungen beruhen auf dem Vorbringen der Beschwerdeführerin vom 20. Dezember 2017 und den dortigen Beilagen, insbesondere der Beantwortung des Auskunftsersuchens durch den Beschwerdegegner am 6. Dezember 2017, sowie der Stellungnahme des Beschwerdegegners vom 5. Februar 2018.
Entsprechend der ab 25. Mai 2018 geltenden Rechtslage war das bisher nach § 31 Abs. 2 DSG 2000, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 83/2013, geführte Verfahren als Beschwerdeverfahren nach § 24 DSG, BGBl. I Nr. 165/1999 idgF, nach den Bestimmungen der DSG und der DSGVO fortzuführen (vgl. dazu § 69 Abs. 4 DSG).
Gemäß § 24 Abs. 1 DSG idgF hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
Die Beschwerdeführerin beschwert sich wegen einer Verletzung ihres Rechts auf Geheimhaltung sie betreffender personenbezogener Daten.
Aufgrund des festgestellten Sachverhaltes ist unstrittig, dass es zu den laut Abfrageprotokoll angeführten unberechtigten Zugriffen gekommen ist. Diese Zugriffe durch eine/n Mitarbeiter/in des Beschwerdegegners konnten durch den Beschwerdegegner nicht erklärt werden. Selbst vom Beschwerdegegner wurden diese Zugriffe als unzulässig bezeichnet.
Es war daher die im Spruchpunkt lautende Feststellung zu treffen (vgl. dazu auch den Bescheid der ehemaligen Datenschutzkommission vom 25. Oktober 2013, GZ K121.990/0016-DSK/2013).
Geheimhaltung, Patientendaten, interne Zugriffe, unrechtmäßige Abfrage, Übergangsfall
Siehe auch Bescheid vom 6.6.2018, GZ: DSB-D122.829/0003-DSB/2018 (Auskunft)
ECLI:AT:DSB:2018:DSB.D122.831.0003.DSB.2018
DSBT_20180604_DSB_D122_831_0003_DSB_2018_00

References: Art. 57
 Art. 77
 § 31
 § 31
 § 24
 § 69
 § 24
 § 1