Norm
DSG §1 Abs1Text
GZ: 2022-0.432.117 vom 15. Juni 2022 (Verfahrenszahl: DSB-D770.1336)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.
Der Namen des Beschwerdegegners wurde hier nicht pseudonymisiert, da es sich um eine Körperschaft öffentlichen Rechts handelt, deren Identität aus angewendeten und zitierten Rechtsvorschriften hervorgeht.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Herrn Ing. Martin A*** (Beschwerdeführer) vom 23. Dezember 2021 gegen den Dachverband der Sozialversicherungsträger (Beschwerdegegner) wegen der behaupteten Verletzung im Recht auf Geheimhaltung wie folgt:
Rechtsgrundlagen: § 1 Abs. 1 und Abs. 2, § 22 Abs. 4, § 24 Abs. 1 und Abs. 5 sowie § 30 Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 04.05.2016, S. 1; § 750 des Allgemeinen Sozialversicherungsgesetzes (ASVG), BGBl. Nr. 189/1955 idgF.; § 18 des Gesundheitstelematikgesetzes 2012 (GTelG 2012), BGBl. I Nr. 111/2012 idgF.; § 25 Abs. 1 des Verwaltungsstrafgesetzes 1991 (VStG), BGBl. Nr. 52/1991 idgF. Rechtsgrundlagen: Paragraph eins, Absatz eins und Absatz 2,, Paragraph 22, Absatz 4,, Paragraph 24, Absatz eins und Absatz 5, sowie Paragraph 30, Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 04.05.2016, Seite 1; Paragraph 750, des Allgemeinen Sozialversicherungsgesetzes (ASVG), Bundesgesetzblatt Nr. 189 aus 1955, idgF.; Paragraph 18, des Gesundheitstelematikgesetzes 2012 (GTelG 2012), Bundesgesetzblatt Teil eins, Nr. 111 aus 2012, idgF.; Paragraph 25, Absatz eins, des Verwaltungsstrafgesetzes 1991 (VStG), Bundesgesetzblatt Nr. 52 aus 1991, idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Der Beschwerdeführer behauptete in seiner Beschwerde vom 23. Dezember 2021 vom Beschwerdegegner und vom „Sozialministerium / Service für Bürgerinnen und Bürger“ in seinem Recht auf Geheimhaltung verletzt worden zu sein, da er ein an ihn adressiertes Schreiben betreffend einen Termin für eine Corona-Schutzimpfung erhalten habe, er jedoch davon ausgehe, dass diesem Schreiben eine unzulässige Verarbeitung seiner personenbezogenen Daten zugrunde liege.
Darüber hinaus beantragte der Beschwerdeführer, die Datenschutzbehörde möge die Datenverarbeitung gemäß § 22 Abs. 4 DSG untersagen und gegen den Beschwerdegegner und gegen das „Sozialministerium / Service für Bürgerinnen und Bürger“ eine Geldbuße verhängen.Darüber hinaus beantragte der Beschwerdeführer, die Datenschutzbehörde möge die Datenverarbeitung gemäß Paragraph 22, Absatz 4, DSG untersagen und gegen den Beschwerdegegner und gegen das „Sozialministerium / Service für Bürgerinnen und Bürger“ eine Geldbuße verhängen.
2. Die Datenschutzbehörde forderte aufgrund einer Vielzahl gleichlautender Beschwerden den Beschwerdegegner mit ho. Schreiben vom 15. Dezember 2021 zur Abgabe einer Stellungnahme auf da die Datenschutzbehörde, ausgehend von den Beschwerdevorbringen bzw. den vorgelegten Unterlagen, von dessen datenschutzrechtlicher Verantwortlichkeit ausging.
3. In seiner Stellungnahme vom 14. Jänner 2022 brachte der Beschwerdegegner zusammengefasst vor, dass er als alleiniger datenschutzrechtlicher Verantwortlicher – wie in § 750 Abs. 1a ASVG vorgesehen – im Auftrag des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz an bestimmte Personen, die bis zu einem Stichtag noch keine Impfung gegen SARS-CoV-2 erhalten hätten, einen Brief geschickt habe, in welchem er über das Risiko schwer an COVID-19 zu erkranken und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 informiert habe. Die für den Versand der Briefe erforderliche Datenerhebung wäre auf Basis einer klaren gesetzlichen Grundlage, nämlich gemäß § 750 Abs. 1a und Abs. 2 ASVG, erfolgt. Die vom Beschwerdeführer behauptete Verletzung seines Rechts auf Geheimhaltung würde somit nicht vorliegen. 3. In seiner Stellungnahme vom 14. Jänner 2022 brachte der Beschwerdegegner zusammengefasst vor, dass er als alleiniger datenschutzrechtlicher Verantwortlicher – wie in Paragraph 750, Absatz eins a, ASVG vorgesehen – im Auftrag des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz an bestimmte Personen, die bis zu einem Stichtag noch keine Impfung gegen SARS-CoV-2 erhalten hätten, einen Brief geschickt habe, in welchem er über das Risiko schwer an COVID-19 zu erkranken und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 informiert habe. Die für den Versand der Briefe erforderliche Datenerhebung wäre auf Basis einer klaren gesetzlichen Grundlage, nämlich gemäß Paragraph 750, Absatz eins a und Absatz 2, ASVG, erfolgt. Die vom Beschwerdeführer behauptete Verletzung seines Rechts auf Geheimhaltung würde somit nicht vorliegen.
4. Die Datenschutzbehörde gewährte dem Beschwerdeführer zur Stellungnahme des Beschwerdegegners Parteiengehör und teilte darüber hinaus mit, dass aufgrund der Ausführungen des Beschwerdegegners, wonach dieser der alleinige datenschutzrechtliche Verantwortliche der verfahrensgegenständlichen Datenverarbeitung sei, das Verfahren gegen diesen geführt wird.
5. Im Rahmen des erteilten Parteiengehörs gab der Beschwerdeführer keine weitere Stellungnahme mehr ab. Ein entsprechender Weiterleitungsbericht liegt dem Akt bei und liegt auch keine Fehlermeldung eines E-Mail Servers vor.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob der Beschwerdegegner den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem der Beschwerdegegner die Daten des Beschwerdeführers zum Zweck des Versands eines Schreibens, in welchem der Beschwerdegegner über das Risiko schwer an COVID-19 zu erkranken und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 informierte, unrechtmäßig verarbeitet hat.
C. Sachverhaltsfeststellungen
Der Beschwerdegegner ist gemäß § 32 Abs. 1 ASVG eine Körperschaft des öffentlichen Rechts und hat Rechtspersönlichkeit.Der Beschwerdegegner ist gemäß Paragraph 32, Absatz eins, ASVG eine Körperschaft des öffentlichen Rechts und hat Rechtspersönlichkeit.
Der Beschwerdegegner hat die Daten des Beschwerdeführers verarbeitet und an diesen ein Schreiben, in welchem er ihn über das Risiko schwer an COVID-19 zu erkranken und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2 informiert, geschickt.
Zur Ermittlung der Daten des Beschwerdeführers hat der Beschwerdegegner im zentralen Impfregister überprüft, ob zum Beschwerdeführer zum Stichtag 22. November 2021 zumindest ein Impfeintrag vorhanden war und hat, da kein solcher Impfeintrag vorhanden war, in einem nächsten Schritt die Wohnadresse des Beschwerdeführers im zentralen Patientenindex ermittelt.
In der Folge hat der Beschwerdegegner einen Lückenbrief mit allgemeinen Brieftext und Impfvorschlag sowie die Daten des Beschwerdeführers an einen Druckdienstleister im Rahmen einer Auftragsdatenverarbeitung übermittelt.
Beim Impfvorschlag handelt es sich um keinen personenbezogenen Termin, weshalb in diesem Zusammenhang auch keine Daten des Beschwerdeführers an Dritte weitergegeben worden sind.
Nach der Übermittlung der Daten an den Druckdienstleister hat der Beschwerdegegner die Daten des Beschwerdeführers gelöscht. Der Druckdienstleister hat gegenüber dem Beschwerdegegner die Löschung der Daten des Beschwerdeführers bestätigt.
Beweiswürdigung: Die Feststellungen ergeben sich aus den Vorbringen der Verfahrensparteien, den vorgelegten, unbedenklichen Unterlagen sowie aus § 32 Abs. 1 ASVG. Beweiswürdigung: Die Feststellungen ergeben sich aus den Vorbringen der Verfahrensparteien, den vorgelegten, unbedenklichen Unterlagen sowie aus Paragraph 32, Absatz eins, ASVG.
D. In rechtlicher Hinsicht folgt daraus:
D1. Zur behaupteten Verletzung im Recht auf Geheimhaltung
§ 750 ASVG samt Überschrift lautet: Paragraph 750, ASVG samt Überschrift lautet:
„Informationsschreiben Impfung gegen SARS-CoV-2
(1) Der Dachverband hat die nach den Bundesgesetzen krankenversicherten Personen und deren anspruchsberechtigte Angehörige, welche am 1. März 2021 der COVID-19-Risikogruppe nach der COVID-19-Risikogruppe-Verordnung, BGBl. II Nr. 203/2020, zugeordnet waren, und bis 1. April 2021 noch keine Impfung gegen SARS-CoV-2 erhalten haben, über ihr erhöhtes Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren. Dies gilt nicht für Personen, die am 1. März 2021 das 16. Lebensjahr noch nicht vollendet hatten. Der Bund hat dem Dachverband die daraus resultierenden Aufwendungen aus dem COVID-19-Krisenbewältigungsfonds zu ersetzen.(1) Der Dachverband hat die nach den Bundesgesetzen krankenversicherten Personen und deren anspruchsberechtigte Angehörige, welche am 1. März 2021 der COVID-19-Risikogruppe nach der COVID-19-Risikogruppe-Verordnung, Bundesgesetzblatt Teil 2, Nr. 203 aus 2020,, zugeordnet waren, und bis 1. April 2021 noch keine Impfung gegen SARS-CoV-2 erhalten haben, über ihr erhöhtes Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren. Dies gilt nicht für Personen, die am 1. März 2021 das 16. Lebensjahr noch nicht vollendet hatten. Der Bund hat dem Dachverband die daraus resultierenden Aufwendungen aus dem COVID-19-Krisenbewältigungsfonds zu ersetzen.
(1a) Der Dachverband hat über Auftrag des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz die nach den Bundesgesetzen krankenversicherten Personen und deren anspruchsberechtigte Angehörige, die bis 22. November 2021 noch keine Impfung gegen SARS-CoV-2 erhalten haben, über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren. Abs. 1 letzter Satz ist anzuwenden.(1a) Der Dachverband hat über Auftrag des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz die nach den Bundesgesetzen krankenversicherten Personen und deren anspruchsberechtigte Angehörige, die bis 22. November 2021 noch keine Impfung gegen SARS-CoV-2 erhalten haben, über das Risiko, schwer an COVID-19 zu erkranken, und die Möglichkeiten zur Inanspruchnahme der kostenlosen Impfung gegen SARS-CoV-2 zu informieren. Absatz eins, letzter Satz ist anzuwenden.
(2) Zum Zweck der Ermittlung der gemäß Abs. 1 und Abs. 1a in Betracht kommenden Personen ist der Dachverband berechtigt, die im zentralen Impfregister (§ 24c GTelG 2012) gespeicherten Daten zu den COVID-19-Impfungen einmalig mit eigenen Daten zu verknüpfen (abzugleichen). Für die Verknüpfung ist das bPK-SV zu verwenden. Eine Verarbeitung dieser Daten für andere Zwecke ist unzulässig. Nach der Verarbeitung sind diese Daten umgehend zu löschen. Die ELGA GmbH als für das Impfregister Verantwortliche (§ 27 Abs. 17 GTelG 2012 iVm § 4b eHealth-Verordnung, BGBl. II Nr. 449/2020) ist verpflichtet, dem Dachverband die notwendigen Daten bereitzustellen. Bei der Protokollierung nach § 24f Abs. 5 GTelG ist ein Hinweis darauf aufzunehmen, dass die Datenverarbeitung zum Zweck der Ermittlung der gemäß Abs. 1 und Abs. 1a in Betracht kommenden Personen erfolgt ist.(2) Zum Zweck der Ermittlung der gemäß Absatz eins und Absatz eins a, in Betracht kommenden Personen ist der Dachverband berechtigt, die im zentralen Impfregister (Paragraph 24 c, GTelG 2012) gespeicherten Daten zu den COVID-19-Impfungen einmalig mit eigenen Daten zu verknüpfen (abzugleichen). Für die Verknüpfung ist das bPK-SV zu verwenden. Eine Verarbeitung dieser Daten für andere Zwecke ist unzulässig. Nach der Verarbeitung sind diese Daten umgehend zu löschen. Die ELGA GmbH als für das Impfregister Verantwortliche (Paragraph 27, Absatz 17, GTelG 2012 in Verbindung mit Paragraph 4 b, eHealth-Verordnung, Bundesgesetzblatt Teil 2, Nr. 449 aus 2020,) ist verpflichtet, dem Dachverband die notwendigen Daten bereitzustellen. Bei der Protokollierung nach Paragraph 24 f, Absatz 5, GTelG ist ein Hinweis darauf aufzunehmen, dass die Datenverarbeitung zum Zweck der Ermittlung der gemäß Absatz eins und Absatz eins a, in Betracht kommenden Personen erfolgt ist.
(3) Der Dachverband ist im übertragenen Wirkungsbereich unter Bindung an die Weisungen des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz tätig.“
§ 18 GTelG samt Überschrift lautet: Paragraph 18, GTelG samt Überschrift lautet:
„Überprüfung der Identität von ELGA-Teilnehmer/inne/n
§ 18. (1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient:Paragraph 18, (1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient:
1. der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen sowie1. der Überprüfung der eindeutigen Identität (Paragraph 2, Ziffer 2, E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen sowie
2. der Lokalisierung von Verweisregistern, in denen sich Verweise auf ELGA-Gesundheitsdaten dieser natürlichen Personen befinden können.
(2) Im Patientenindex sind folgende Daten natürlicher Personen zu verarbeiten:
1. Namensangaben:
a) Vorname(n)
b) Familienname
c) Geburtsname
d) akademische Grade
2. Personenmerkmale:
a) Geburtsdatum
b) Geburtsort, soweit verfügbar
c) Geschlecht
d) Sterbedatum, soweit verfügbar
e) Staatsangehörigkeit
3. Adressdaten
4. Identitätsdaten:
a) Sozialversicherungsnummer
b) lokale Patient/inn/en/kennungen
c) bPK-GH
d) über die Z 1 bis 3 hinausgehenden Daten der europäischen Krankenversicherungskarted) über die Ziffer eins, bis 3 hinausgehenden Daten der europäischen Krankenversicherungskarte
e) sonstige staatliche Identifikatoren.
(3) Die Daten gemäß Abs. 2 sind vorrangig aus den Anwendungen des Dachverbandes gemäß § 30c Abs. 1 Z 2 lit. a ASVG sowie dem Ergänzungsregister gemäß § 6 Abs. 4 E-GovG zu erheben.(3) Die Daten gemäß Absatz 2, sind vorrangig aus den Anwendungen des Dachverbandes gemäß Paragraph 30 c, Absatz eins, Ziffer 2, Litera a, ASVG sowie dem Ergänzungsregister gemäß Paragraph 6, Absatz 4, E-GovG zu erheben.
(4) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (§ 14 Abs. 1 Z 1) hat in elektronischer Form unter Mitwirkung des ELGA-Teilnehmers/der ELGA-Teilnehmerin zu erfolgen. Dabei sind die im Patientenindex gespeicherten Identitätsdaten mit den im Rahmen der Identifikation erhobenen Identitätsdaten zu vergleichen. Die Erhebung der Identitätsdaten kann durch(4) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Paragraph 14, Absatz eins, Ziffer eins,) hat in elektronischer Form unter Mitwirkung des ELGA-Teilnehmers/der ELGA-Teilnehmerin zu erfolgen. Dabei sind die im Patientenindex gespeicherten Identitätsdaten mit den im Rahmen der Identifikation erhobenen Identitätsdaten zu vergleichen. Die Erhebung der Identitätsdaten kann durch
1. eine elektronische Prüfung der Gültigkeit der e-card und dem Auslesen von Daten der e-card mittels e-card-System (§§ 31a ff ASVG) oder1. eine elektronische Prüfung der Gültigkeit der e-card und dem Auslesen von Daten der e-card mittels e-card-System (Paragraphen 31 a, ff ASVG) oder
2. Verwenden eines E-ID (§ 2 Z 10 E-GovG) oder2. Verwenden eines E-ID (Paragraph 2, Ziffer 10, E-GovG) oder
3. Verarbeiten von Identitätsdaten einer gemäß § 4 Abs. 2 eindeutig identifizierten natürlichen Person, die bei einem ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. d und e gespeichert sind wobei das IT-Sicherheitskonzept gemäß § 8 die Überprüfung der Identität der ELGA-Teilnehmer/innen technisch abzusichern hat zum Zweck der Verarbeitung der ELGA-Gesundheitsdaten gemäß § 14 Abs. 2 Z 1 oder3. Verarbeiten von Identitätsdaten einer gemäß Paragraph 4, Absatz 2, eindeutig identifizierten natürlichen Person, die bei einem ELGA-Gesundheitsdiensteanbieter gemäß Paragraph 2, Ziffer 10, Litera d, und e gespeichert sind wobei das IT-Sicherheitskonzept gemäß Paragraph 8, die Überprüfung der Identität der ELGA-Teilnehmer/innen technisch abzusichern hat zum Zweck der Verarbeitung der ELGA-Gesundheitsdaten gemäß Paragraph 14, Absatz 2, Ziffer eins, oder
4. Verarbeiten von Daten einer elektronischen oder sonst eindeutig identifizierbaren Verordnung oder Zuweisung (§ 14 Abs. 2 Z 1 lit. b), sofern die Erhebung der Identitätsdaten nicht gemäß Z 1 bis 3 erfolgt, oder4. Verarbeiten von Daten einer elektronischen oder sonst eindeutig identifizierbaren Verordnung oder Zuweisung (Paragraph 14, Absatz 2, Ziffer eins, Litera b,), sofern die Erhebung der Identitätsdaten nicht gemäß Ziffer eins, bis 3 erfolgt, oder
5. das Auslesen von Daten der e-card oder eines amtlichen Lichtbildausweises im Format ID-1 mittels geeigneter Technologie für die Identifizierung im Rahmen des elektronischen Impfpasses, wobei als amtlicher Lichtbildausweis in diesem Sinne von einer staatlichen Behörde ausgestellte Dokumente, die mit einem nicht austauschbaren erkennbaren Kopfbild der betreffenden Person versehen sind, und den Namen, das Geschlecht, das Geburtsdatum und die Unterschrift der Person sowie die ausstellende Behörde enthalten, gelten,
erfolgen.
(5) Im Zuge der Erhebung der Identitätsdaten mittels e-card System (§§ 31a ff ASVG) ist im selben Arbeitsschritt, aber technisch von den Datenflüssen des ELSY (§§ 31a ff ASVG) getrennt, auch ein allfälliger Widerspruch gemäß § 16 Abs. 2 Z 2 zu dokumentieren.(5) Im Zuge der Erhebung der Identitätsdaten mittels e-card System (Paragraphen 31 a, ff ASVG) ist im selben Arbeitsschritt, aber technisch von den Datenflüssen des ELSY (Paragraphen 31 a, ff ASVG) getrennt, auch ein allfälliger Widerspruch gemäß Paragraph 16, Absatz 2, Ziffer 2, zu dokumentieren.
(6) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Abs. 4) darf für den Zugriff und die Verarbeitung der ELGA-Gesundheitsdaten zu den in § 14 Abs. 2 genannten Zwecken durch(6) Die Überprüfung der Identität der ELGA-Teilnehmer/innen (Absatz 4,) darf für den Zugriff und die Verarbeitung der ELGA-Gesundheitsdaten zu den in Paragraph 14, Absatz 2, genannten Zwecken durch
1. ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. a, b, d und e und die ELGA-Ombudsstelle gemäß § 2 Z 14 nicht länger als 90 Tage und1. ELGA-Gesundheitsdiensteanbieter gemäß Paragraph 2, Ziffer 10, Litera a, b, d, und e und die ELGA-Ombudsstelle gemäß Paragraph 2, Ziffer 14, nicht länger als 90 Tage und
2. ELGA-Gesundheitsdiensteanbieter gemäß § 2 Z 10 lit. c nicht länger als zwei Stunden zurückliegen.2. ELGA-Gesundheitsdiensteanbieter gemäß Paragraph 2, Ziffer 10, Litera c, nicht länger als zwei Stunden zurückliegen.
(7) Abweichend von Abs. 6 kann ein ELGA-Teilnehmer/eine ELGA-Teilnehmerin einem oder mehreren ELGA-Gesundheitsdiensteanbieter des besonderen Vertrauens gemäß § 2 Z 10 lit. a, b, c und e in Verbindung mit § 21 Abs. 2 mit dessen Zustimmung, eine Frist von bis zu 365 Tagen einräumen.(7) Abweichend von Absatz 6, kann ein ELGA-Teilnehmer/eine ELGA-Teilnehmerin einem oder mehreren ELGA-Gesundheitsdiensteanbieter des besonderen Vertrauens gemäß Paragraph 2, Ziffer 10, Litera a, b, c, und e in Verbindung mit Paragraph 21, Absatz 2, mit dessen Zustimmung, eine Frist von bis zu 365 Tagen einräumen.
(8) Abgesehen von den Fällen gemäß § 17 Abs. 4 dürfen Vertretungen von ELGA-Teilnehmer/inne/n im elektronischen Verkehr ausschließlich gemäß § 5 Abs. 1 E-GovG eingetragen werden, wobei:(8) Abgesehen von den Fällen gemäß Paragraph 17, Absatz 4, dürfen Vertretungen von ELGA-Teilnehmer/inne/n im elektronischen Verkehr ausschließlich gemäß Paragraph 5, Absatz eins, E-GovG eingetragen werden, wobei:
1. an Stelle der Stammzahl ein bPK des ELGA-Teilnehmers/der ELGA-Teilnehmerin einzutragen ist sowie
2. die Berechtigung zum Zugriff auf ELGA gesondert eingetragen werden muss.
(9) Zehn Jahre nach Kenntnis des Sterbedatums eines ELGA-Teilnehmers/einer ELGA-Teilnehmerin hat der Dachverband die im Patientenindex gespeicherten Daten des/der Verstorbenen automatisch zu löschen.
In der Sache:
Das in § 1 DSG verankerte Grundrecht auf Datenschutz, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz des Betroffenen vor der Ermittlung seiner Daten und der Weitergabe der über ihn ermittelten Daten.Das in Paragraph eins, DSG verankerte Grundrecht auf Datenschutz, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz des Betroffenen vor der Ermittlung seiner Daten und der Weitergabe der über ihn ermittelten Daten.
Das Grundrecht auf Datenschutz gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind.Das Grundrecht auf Datenschutz gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind.
Wie festgestellt, verarbeitete der Beschwerdegegner, welcher als Körperschaft des öffentlichen Rechts hinsichtlich der verfahrensgegenständlichen Verarbeitung als Behörde im Sinn des § 1 Abs. 2 DSG zu qualifizieren ist (vgl. dazu Pollirer/Weiss/Knyrim, Datenschutzgesetz2 § 1 Anm. 13), zum Zweck des Versands eines Informationsschreibens betreffend das Risiko schwer an COVID-19 zu erkranken und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2, die Daten des Beschwerdeführers aus dem zentralen Impfregister und den eigenen Daten, konkret aus dem zentralen Patientenindex. Wie festgestellt, verarbeitete der Beschwerdegegner, welcher als Körperschaft des öffentlichen Rechts hinsichtlich der verfahrensgegenständlichen Verarbeitung als Behörde im Sinn des Paragraph eins, Absatz 2, DSG zu qualifizieren ist vergleiche dazu Pollirer/Weiss/Knyrim, Datenschutzgesetz2 Paragraph eins, Anmerkung 13, ), zum Zweck des Versands eines Informationsschreibens betreffend das Risiko schwer an COVID-19 zu erkranken und die Möglichkeit der Inanspruchnahme einer kostenlosen Impfung gegen SARS-CoV-2, die Daten des Beschwerdeführers aus dem zentralen Impfregister und den eigenen Daten, konkret aus dem zentralen Patientenindex.
Da sich der Beschwerdegegner in diesem Zusammenhang auf § 750 Abs. 1a und Abs. 2 ASVG und somit auf einen tragenden Eingriffstatbestand gemäß § 1 Abs. 2 DSG stützen konnte, hat sich die Beschwerde als nicht berechtigt erwiesen, weshalb sie gemäß § 24 Abs. 5 DSG abzuweisen war.Da sich der Beschwerdegegner in diesem Zusammenhang auf Paragraph 750, Absatz eins a und Absatz 2, ASVG und somit auf einen tragenden Eingriffstatbestand gemäß Paragraph eins, Absatz 2, DSG stützen konnte, hat sich die Beschwerde als nicht berechtigt erwiesen, weshalb sie gemäß Paragraph 24, Absatz 5, DSG abzuweisen war.
D2. Zum Antrag auf Untersagung der Datenverarbeitung
Soweit der Beschwerdeführer beantragte, die Datenschutzbehörde möge gemäß § 22 Abs. 4 DSG dem Beschwerdegegner die Verarbeitung seiner Daten untersagen, ist zunächst darauf hinzuweisen, dass die Voraussetzung einer solchen Untersagung das Vorliegen einer wesentlichen unmittelbaren Gefährdung, mithin „Gefahr im Verzug“, ist. Da die verfahrensgegenständliche Verarbeitung allerdings zum Zeitpunkt der Beschwerdeerhebung bereits abgeschlossen war, kann schon aus diesem Grund von keiner wesentlichen unmittelbaren Gefährdung bzw. von „Gefahr im Verzug“ mehr ausgegangen werden, weshalb die Voraussetzungen einer Untersagung gemäß § 22 Abs. 4 DSG auch nicht vorgelegen sind. Soweit der Beschwerdeführer beantragte, die Datenschutzbehörde möge gemäß Paragraph 22, Absatz 4, DSG dem Beschwerdegegner die Verarbeitung seiner Daten untersagen, ist zunächst darauf hinzuweisen, dass die Voraussetzung einer solchen Untersagung das Vorliegen einer wesentlichen unmittelbaren Gefährdung, mithin „Gefahr im Verzug“, ist. Da die verfahrensgegenständliche Verarbeitung allerdings zum Zeitpunkt der Beschwerdeerhebung bereits abgeschlossen war, kann schon aus diesem Grund von keiner wesentlichen unmittelbaren Gefährdung bzw. von „Gefahr im Verzug“ mehr ausgegangen werden, weshalb die Voraussetzungen einer Untersagung gemäß Paragraph 22, Absatz 4, DSG auch nicht vorgelegen sind.
Der diesbezügliche Antrag war daher abzuweisen.
D3. Zum Antrag auf Verhängung einer Geldbuße
Soweit der Beschwerdeführer beantragte, die Datenschutzbehörde möge gegen den Beschwerdegegner eine Geldbuße verhängen, ist darauf hinzuweisen, dass im Rahmen eines Administrativverfahrens keine Geldbuße gegen einen Verantwortlichen verhängt werden kann. Während aus Art. 77 Abs. 1 DSGVO bzw. § 24 Abs. 1 und 5 DSG kein subjektives Recht auf Einleitung eines Strafverfahrens gegen einen gewissen Verantwortlichen abgeleitet werden kann, diesbezüglich gilt nach § 25 Abs. 1 VStG das Prinzip der Amtswegigkeit (vgl. Fister in Lewisch/Fister/Weilguni (Hrsg), VStG Kommentar2 [2017] § 25 Rz 1), ist im Übrigen darauf hinzuweisen, dass gemäß § 30 Abs. 5 DSG gegen Körperschaften des öffentlichen Rechts keine Geldbußen verhängt werden können. Soweit der Beschwerdeführer beantragte, die Datenschutzbehörde möge gegen den Beschwerdegegner eine Geldbuße verhängen, ist darauf hinzuweisen, dass im Rahmen eines Administrativverfahrens keine Geldbuße gegen einen Verantwortlichen verhängt werden kann. Während aus Artikel 77, Absatz eins, DSGVO bzw. Paragraph 24, Absatz eins, und 5 DSG kein subjektives Recht auf Einleitung eines Strafverfahrens gegen einen gewissen Verantwortlichen abgeleitet werden kann, diesbezüglich gilt nach Paragraph 25, Absatz eins, VStG das Prinzip der Amtswegigkeit vergleiche Fister in Lewisch/Fister/Weilguni (Hrsg), VStG Kommentar2 [2017] Paragraph 25, Rz 1), ist im Übrigen darauf hinzuweisen, dass gemäß Paragraph 30, Absatz 5, DSG gegen Körperschaften des öffentlichen Rechts keine Geldbußen verhängt werden können.
Der diesbezügliche Antrag war daher zurückzuweisen.
Es war spruchgemäß zu entscheiden.
Schlagworte
Geheimhaltung, Rechtmäßigkeit der Verarbeitung, gesetzliche Ermächtigung, COVID-19, Gesundheitsdaten, Impfdaten, Impfregister, Informationsschreiben, Impfschreiben, Einladung zur Schutzimpfung, Mandatsbescheid, Untersagung der Verarbeitung, Gefahr im Verzug, konkrete GefahrensituationEuropean Case Law Identifier (ECLI)
ECLI:AT:DSB:2022:2022.0.432.117Zuletzt aktualisiert am
12.12.2023
