Norm
Tir KAG §15Text
GZ: 2025-0.745.017 vom 25. Februar 2026 (Verfahrenszahl DSB-D213.1490)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet im Rahmen der Datenschutzüberprüfung gemäß Art. 58 Abs. 1 lit. b DSGVO gegen die Privatklinik N*** GmbH, U***platz *6/*4, **** A***dorf, FN *1*6*8t, vertreten durch den Datenschutzbeauftragten Mag. Max B*** von der K***-Compliance Ges.m.b.H., wie folgt:Die Datenschutzbehörde entscheidet im Rahmen der Datenschutzüberprüfung gemäß Artikel 58, Absatz eins, Litera b, DSGVO gegen die Privatklinik N*** GmbH, U***platz *6/*4, **** A***dorf, FN *1*6*8t, vertreten durch den Datenschutzbeauftragten Mag. Max B*** von der K***-Compliance Ges.m.b.H., wie folgt:
Rechtsgrundlagen: Art. 4 Z 2, Z 7 und Z 15, Art. 5 Abs. 1 lit. a, lit. c und Abs. 2, Art. 6 Abs. 1 lit. f, Art. 9, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. a und lit. h, Art. 58 Abs. 1 lit. b und Abs. 2 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1.; §§ 15 und 63a des Tiroler Krankenanstaltengesetzes (Tir KAG), LGBl. Nr. 5/1958 idgF; § 13 des Verwaltungsgerichtsverfahrensgesetzes (VwGVG), BGBl. I Nr. 33/2013 idgF.Rechtsgrundlagen: Artikel 4, Ziffer 2,, Ziffer 7 und Ziffer 15,, Artikel 5, Absatz eins, Litera a,, Litera c und Absatz 2,, Artikel 6, Absatz eins, Litera f,, Artikel 9,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera a und Litera h,, Artikel 58, Absatz eins, Litera b und Absatz 2, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1.; Paragraphen 15, und 63a des Tiroler Krankenanstaltengesetzes (Tir KAG), Landesgesetzblatt Nr. 5 aus 1958, idgF; Paragraph 13, des Verwaltungsgerichtsverfahrensgesetzes (VwGVG), Bundesgesetzblatt Teil eins, Nr. 33 aus 2013, idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Der Datenschutzbehörde wurde mit anonymer Anzeige zur Kenntnis gebracht, dass in allen Operationssälen (in Folge: OP) der Privatklinik N*** GmbH Kameras installiert seien. Diese seien auf den jeweiligen Operationsbereich gerichtet und würden auch die Patient:innen erfassen.
2. Mit Schreiben vom 29. November 2021 nahm die Verantwortliche Stellung und führte aus, dass es zutreffend sei, dass in allen Operationssälen Kameras installiert seien, die auf den jeweiligen Operationsbereich gerichtet sind und auch die Patient:innen erfassen.
Es würden in den OPs insgesamt 4 Kameras betrieben.
Diese Kameras (bzw. die live übertragenen Informationen) würden mehreren Zwecken dienen:
Aufgrund der hier angeführten Zwecke werde diese Verarbeitung aufgrund berechtigter Interessen der Patient:innen (sowohl der durch die Kamera erfassten Patient:innen als auch jener Patient:innen, die als nächste Patient:innen für eine OP vorgesehen sind) zu deren vorbeugendem Schutz gem. Art. 6 Abs. 1 lit. f DSGVO für rechtmäßig erachtet.Aufgrund der hier angeführten Zwecke werde diese Verarbeitung aufgrund berechtigter Interessen der Patient:innen (sowohl der durch die Kamera erfassten Patient:innen als auch jener Patient:innen, die als nächste Patient:innen für eine OP vorgesehen sind) zu deren vorbeugendem Schutz gem. Artikel 6, Absatz eins, Litera f, DSGVO für rechtmäßig erachtet.
In keinem der genannten Fälle sei eine Identifikation der von der Kamera erfassten Personen erforderlich oder beabsichtigt, jedoch nicht auszuschließen.
Die Bilder der Kameras würden ausschließlich live übertragen werden, es erfolge keine Aufzeichnung.
Neben den Kameras im OP würden noch drei weitere Kameras an den Eingängen der Privatklinik betrieben werden, deren Live-Bilder an die Rezeption übertragen werden. Auch hier erfolge keine Aufzeichnung.
An allen Zugängen zum Sanatorium, jeweils an der Grenze zwischen dem öffentlichen Bereich und dem privaten Bereich der Privatklinik N*** erfolge eine Kennzeichnung durch entsprechende Hinweisschilder „Videoüberwachung“. Durch die räumliche Positionierung der Hinweisschilder (allenfalls durch entsprechende Zusatzschilder) sei für betroffene Personen die Privatklinik N*** als Verantwortliche erkennbar.
Darüber hinaus erfolge keine Information der Betroffenen. Aufgrund der Regelung in § 63a Abs. 13 Tir KAG, das für das Haus der Verantwortlichen Anwendung finde, sei sie von der Bereitstellung von Informationen für Betroffene bei der Erhebung sie betreffender personenbezogener Daten ausgenommen.Darüber hinaus erfolge keine Information der Betroffenen. Aufgrund der Regelung in Paragraph 63 a, Absatz 13, Tir KAG, das für das Haus der Verantwortlichen Anwendung finde, sei sie von der Bereitstellung von Informationen für Betroffene bei der Erhebung sie betreffender personenbezogener Daten ausgenommen.
Die Kameras würden jeweils aus der Vogelperspektive den Bereich, in dem die OP stattfinde, erfassen. Der Erfassungsbereich sei im Rahmen der Installation der Kameras fix eingestellt worden. Es gebe bei dem Kameramodell theoretisch die Funktionen, den Fokus bzw. den Aufnahmebereich der Kameras aus der Ferne zu verändern. Jedoch nutze die Verantwortliche diese Funktion nicht und der Aufnahmebereich der Kameras sei fix eingestellt. Es seien weder Fernbedienungen noch sonstige Bedienelemente für diese Kameras verfügbar.
Die Live-Bilder würden an vier Stellen angezeigt:
Diese Räume dürften nur von befugten Personen betreten werden. Die Monitore seien so positioniert, dass man sich im Raum befinden müsse, um die dargestellten Inhalte wahrnehmen zu können. Die Kenntnisnahme von den Inhalten der für die Anzeige verwendeten Monitore für Unbefugte sei somit nicht möglich.
Es erscheine der Privatklinik N*** in diesem Zusammenhang wichtig zu erwähnen, dass die Operationen in den von ihnen bereitgestellten OPs durch Belegärzte erfolgen (die nicht Teil des Ärzteteams der Privatklinik N*** seien), die organisatorisch und fachlich von den Spezialisten der Privatklinik N*** unterstützt würden. Die Spezialisten der Privatklinik N*** müssten aber zu diesem Zweck nicht zwingend im OP physisch anwesend sein (und sollten aus hygienischen und räumlichen Gründen dort auch nicht anwesend sein). Die jeweiligen OP-Teams seien organisatorisch voneinander unabhängig und somit auf die Koordination der Mitarbeiter der Verantwortlichen angewiesen. Diese Art der Koordination sei nur durch den Einsatz dieser Kameras möglich.
Bei den verwendeten Kameras handle es sich um Kameras des Herstellers J***, mit der Modellbezeichnung K**6*5T. Die Bedienungsanleitung werde als gesondertes Dokument (Manual K**6*5T.pdf) gemeinsam mit diesem Antwortschreiben übermittelt.
3. Mit Schreiben vom 29. November 2021 nahm die Verantwortliche erneut Stellung und führte zusammengefasst aus, dass durch die Verwendung der Übertragung der Live-Bilder aus den OPs das Geschehen übertragen werden könne, ohne dass die konkrete Identität des: der Patient:in offengelegt werden müsse (wie dies durch Zugriff auf die OP-Dokumentation erforderlich wäre). Durch die fixe(n) Kameraposition(en) werde gewährleistet, dass nur das konkrete OP-Geschehen eingesehen werden könne, ohne andere Informationen über den:die Patient:in bzw. das medizinische Personal offenzulegen. Insbesondere diene diese Form der Bildübertragung der Reduktion der Personen, die den OP-Bereich während der OP betreten müssen, sowie der Reduzierung der Öffnung von Türen, wodurch das Infektionsrisiko deutlich reduziert werde. Da die Daten ausschließlich in Echtzeit übertragen werden, würden ausschließlich Informationen zur Verfügung gestellt, die dem Betrachter der Bildinformationen auch im Rahmen einer persönlichen Anwesenheit zugänglich wären. Diese persönliche Anwesenheit wäre ohne Verwendung der Bildübertragung (zumindest zeitweise) erforderlich und für alle Personen, die diese Daten einsehen können, auch aus medizinischer Sicht möglich und zulässig.
Es sei eine Datenschutz-Folgenabschätzung (im Folgenden: DSFA) iSv. Art. 35 DSGVO durchgeführt worden. Da es sich um eine Verarbeitung handle, die ausschließlich in Echtzeit an Örtlichkeiten erfolge, über die der Verantwortliche verfügungsberechtigt sei und die Verarbeitung nicht an Orten erfolge, die nach der aktuellen Literatur denen eines „höchstpersönlichen Lebensbereichs“ entspreche, sei die Anwendbarkeit der Ausnahme A10 („Bild- und Akustikdatenverarbeitung in Echtzeit“) in der Verordnung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV) nicht auszuschließen. Da aber Daten von Patient:innen erfasst werden, habe sich die Verantwortliche im Rahmen des gegenständlichen amtswegigen Verfahrens, nach Beantwortung der Anfrage vom 17. November 2021 dazu entschlossen, eine DSFA durchzuführen.Es sei eine Datenschutz-Folgenabschätzung (im Folgenden: DSFA) iSv. Artikel 35, DSGVO durchgeführt worden. Da es sich um eine Verarbeitung handle, die ausschließlich in Echtzeit an Örtlichkeiten erfolge, über die der Verantwortliche verfügungsberechtigt sei und die Verarbeitung nicht an Orten erfolge, die nach der aktuellen Literatur denen eines „höchstpersönlichen Lebensbereichs“ entspreche, sei die Anwendbarkeit der Ausnahme A10 („Bild- und Akustikdatenverarbeitung in Echtzeit“) in der Verordnung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV) nicht auszuschließen. Da aber Daten von Patient:innen erfasst werden, habe sich die Verantwortliche im Rahmen des gegenständlichen amtswegigen Verfahrens, nach Beantwortung der Anfrage vom 17. November 2021 dazu entschlossen, eine DSFA durchzuführen.
Die Bildverarbeitung sei auf ausdrücklichen Wunsch der zu diesem Zeitpunkt bei der Verantwortlichen tätigen Belegärzte installiert worden. Da nach wie vor dieselben Belegärzte für sie tätig seien, seien alle diese Belegärzte über die Existenz und Funktionsweise der Bildverarbeitung informiert. Eine Einwilligung in diese Verarbeitung liege nicht vor. Die Rechtmäßigkeit der gegenständlichen Verarbeitung (die im Falle von den Belegärzten und dem OP-Team keine besonderen Kategorien personenbezogener Daten umfasse) begründe sich nach Rechtsauffassung der Verantwortlichen durch die Verarbeitung im berechtigten Interesse der Verantwortlichen, sowie im begründeten Interesse Dritter.
4. Mit Schreiben vom 1. September 2023 ersuchte die Datenschutzbehörde die Österreichische Ärztekammer um eine Einschätzung, ob eine Videoüberwachung wie im gegenständlichen Fall notwendig für den Schutz des Lebens der Patient:innen sei sowie um Informationen, ob derartige Videoüberwachungen eine allgemein geübte Praxis in Kliniken bzw. bei Operationen darstellen.
5. Mit Schreiben vom 18. September 2023 teilte die Österreichische Ärztekammer mit, dass die von der Verantwortlichen genannten Zwecke aus medizinisch-fachlicher Sicht mit wesentlich geringerem technischem Aufwand gelöst werden können und eine Hilfestellung aus fachlicher Sicht sicherlich nicht über eine Videoüberwachung gelöst werden könne, in der Regel sei Hilfe direkt vor Ort notwendig.
Zu dem zuletzt genannten Zweck, Öffnen von Türen bzw. den Zutritt von zusätzlichen Personen in den OP aus hygienischen Gründen zu vermeiden werde angemerkt, dass dies bei laufender OP erstrebenswert sei, aber grundsätzlich zu keinen die Patient:innen gefährdenden Situationen führen werde, da in der Regel mehrmals während einer OP benötigte Materialien in den OP-Saal gebracht werden müssen.
6. Mit Schreiben vom 12. September 2025 nahm die Verantwortliche erneut Stellung und brachte zusammengefasst vor, dass die Aussage der Österreichischen Ärztekammer die besonderen Umstände in ihrer Anstalt nicht berücksichtigen würde. Es handle sich bei ihrer Einrichtung um ein „Belegspital“, die Einrichtungen des Spitals würden durch niedergelassene Ärzte genutzt werden, um deren private Patient:innen zu behandeln. Es wären daher keine eingespielten Teams, die täglich zusammenarbeiten und könne eine Hilfestellung durch Dritte, die nicht dem OP-Team angehören erforderlich sein.
Es möge sein, dass die Zwecke auch mit „wesentlich geringerem technischen Aufwand“ erreicht werden könnten, wie zB einer Sprechanlage. Der erforderliche technische Aufwand sei jedoch kein Kriterium der datenschutzrechtlichen Prüfung. Die beschriebenen Zwecke könnten auch durch die dauerhafte Anwesenheit von weiteren Personen im OP-Bereich erreicht werden, die im Falle einer erforderlichen Kommunikation mit Stellen außerhalb des OP-Bereiches in Kontakt treten könnten. Diese dauernde Anwesenheit würde nicht nur die Anzahl der Personen im OP erhöhen, sondern auch dazu führen, dass diese Personen alle Vorgänge im OP (sowohl optisch als auch akustisch) wahrnehmen könnten.
Eine rein optische Wahrnehmung des Geschehens in den OP-Räumlichkeiten von außerhalb der OP-Räumlichkeiten sei (ohne die gegenständliche Bildverarbeitung) nicht möglich, da die Türen zu diesem Bereich keine Sichtfenster aufweisen.
Auch sei es nach den Vorgaben des Hauses tunlichst zu vermeiden, dass die Türe unnötig geöffnet werde.
Weiters führte die Verantwortliche aus, wie sich die Zugangsregeln zu den Räumen in denen sich die Monitore befinden darstellen und dass sowohl der OP-Koordinator als auch der Leiter der Anästhesie sowie die Mitarbeiter:innen der IMCU verpflichtet seien im Falle eines Notfalles zu jeder Zeit einzuschreiten bzw. Hilfeleistungen im OP zu erbringen. Dies treffe für die Personen im Aufenthaltsraum des OP-Teams nicht zu, weshalb nun der Monitor im Aufenthaltsbereich des OP-Teams entfernt worden sei.
Der primäre Behandlungsvertrag im Zusammenhang mit der Durchführung der zentralen medizinischen Leistungen bestehe zwischen den Patient:innen und dem Belegarzt. Zwischen den Patient:innen und der Verantwortlichen bestehe ebenfalls ein durch schlüssiges Handeln abgeschlossener Behandlungsvertrag, der in Krankenanstalten neben der ärztlichen Heilbehandlung auch die Pflege des:der Patient:innen und dessen Beherbergung umfasse. Zudem gäbe es eine gesonderte „Aufnahmevereinbarung“, der die Patient:innen über die Bereitstellung der Infrastruktur, die Pflege und die Bereitstellung des erforderlichen Sekundärpersonals informiert und auch über die Datenverarbeitung durch die Privatklinik bzw. Datenweitergabe zu Verrechnungszwecken informiert. Diese „Aufnahmevereinbarung“ enthalte keine Information zur gegenständlichen Bildverarbeitung.
Die Rechtsgrundlage für diese Verarbeitungen sei Art. 6 Abs. 1 lit. c iVm. Art. 9 Abs. 2 lit. h iVm. Art. 9 Abs. 3 DSGVO iVm. § 63a Tir KAG.Die Rechtsgrundlage für diese Verarbeitungen sei Artikel 6, Absatz eins, Litera c, in Verbindung mit Artikel 9, Absatz 2, Litera h, in Verbindung mit Artikel 9, Absatz 3, DSGVO in Verbindung mit Paragraph 63 a, Tir KAG.
B. Verfahrensgegenstand
Verfahrensgegenständlich stellt sich die Frage, ob die bestehende Videoüberwachung in den vier Operationssälen der Privatklinik N*** rechtmäßig erfolgt.
C. Sachverhaltsfeststellungen
In allen vier Operationssälen der Privatklinik N*** GmbH sind Kameras installiert, die auf den jeweiligen Operationsbereich gerichtet sind und auch die Patient:innen erfassen. Es handelt sich hierbei um Kameras der Marke J***, Modell K**6*5T.
Die Bilder der Kameras werden live übertragen und im Arbeitsraum des OP-Koordinators, im Büro des Leiters der Anästhesie und im Raum der IMCU angezeigt. Bis September 2025 wurden die Bilder auch live im Aufenthaltsraum des OP-Teams angezeigt.
Die Monitore sind so positioniert, dass sie nur aus dem jeweiligen Raum aus einsehbar sind.
Der Arbeitsraum des OP-Koordinators ist durch eine elektronische Zugangskontrolle abgesichert. Der Zutritt in den Raum des OP-Koordinators ist nur für Personen zulässig, deren beruflicher Tätigkeitsbereich innerhalb dieses Bereiches liegt bzw. für Personen, die OP-Teams angehören.
Das Büro des Leiters der Anästhesie, ist durch ein mechanisches Schloss mit Schlüssel abgesichert und nur für den Leiter der Anästhesie zugänglich.
Der Aufenthaltsraum des OP-Teams ist ein Teil im Inneren des durch ein elektronisches Zutrittssystem abgeschlossenen Bereiches. Zutritt zu diesem Bereich haben OP-Mitarbeiter des Krankenhauses und Personen, denen temporärer (zB durch Aushändigen einer entsprechenden Zutrittskarte durch den OP-Koordinator) Zutritt zu diesem Bereich gewährt wird.
Der Raum der IMCU ist durch ein System der elektronischen Zutrittskontrolle geregelt. Mitarbeiter, die Aufgaben in diesem Bereich zu erfüllen haben, verfügen über die entsprechenden Zutrittsberechtigungen.
Zu dem Arbeitsraum des OP-Koordinators, dem Büro des Leiters der Anästhesie und dem Raum der IMCU hat auch Reinigungspersonal Zugang. Die Reinigung der Bereiche findet außerhalb der Betriebszeiten des OP statt.
Der OP-Koordinator, der Leiter der Anästhesie sowie die Mitarbeiter:innen der IMCU sind verpflichtet, im Falle eines Notfalles zu jeder Zeit einzuschreiten bzw. Hilfeleistungen im OP zu erbringen.
Die Montageposition der Kameras in den baugleichen Operationssälen 1 und 2 stellt sich wie folgt dar:
[Anmerkung Bearbeiter/in: das an dieser Stelle im Original wiedergegebene digitale Lichtbild in einem grafischen Format wurde aus Pseudonymisierungsgründen entfernt. Es zeigt eine sogenannte Domkamera an der Decke eines Operationssaals]
Die Montageposition der Kamera in dem Operationssaal 3 stellt sich wie folgt dar:
[Anmerkung Bearbeiter/in: das an dieser Stelle im Original wiedergegebene digitale Lichtbild in einem grafischen Format wurde aus Pseudonymisierungsgründen entfernt. Es zeigt eine sogenannte Domkamera an der Decke eines Operationssaals]
Die Montageposition der Kamera in dem Operationssaal 4 stellt sich wie folgt dar:
[Anmerkung Bearbeiter/in: das an dieser Stelle im Original wiedergegebene digitale Lichtbild in einem grafischen Format wurde aus Pseudonymisierungsgründen entfernt. Es zeigt eine sogenannte Domkamera an der Decke eines Operationssaals]
Die Anzeige der Kameras im Büro des OP-Koordinators stellt sich wie folgt dar und zeigt dabei die Aufnahmebereiche der Kameras:
[Anmerkung Bearbeiter/in: das an dieser Stelle im Original wiedergegebene digitale Lichtbild in einem grafischen Format wurde aus Pseudonymisierungsgründen entfernt. Es zeigt einen viergeteilten Bildschirm mit Blick in mehrere Operationssäle.]
Es erfolgt keine Information der betroffenen Personen über die Videoüberwachung in den Operationssälen und es gibt auch keine gesonderte Kennzeichnung dieser Videoüberwachungen.
Es wird mit den Patient:innen eine „Aufnahmevereinbarung“ abgeschlossen, in der sie über die Bereitstellung der Infrastruktur, die Pflege und die Bereitstellung des erforderlichen Sekundärpersonals informiert und auch über die Datenverarbeitung durch die Privatklinik bzw. Datenweitergabe zu Verrechnungszwecken informiert werden. Im Rahmen dieser Vereinbarung können sich Patient:innen bereit erklären, dass ihnen radiologische Bild- und Befunddaten über ein elektronisches Befundportal zur Verfügung gestellt werden können. Diese „Aufnahmevereinbarung“ enthält keine Information zur gegenständlichen Bildverarbeitung.
Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem Vorbringen der Verantwortlichen und den von ihr vorgelegten Fotos.
Die von der Verarbeitung betroffenen Personen sind chirurgische Patient:innen, alle Mitarbeiter des OP- und Anästhesiebereichs der Verantwortlichen, an der Operation beteiligte erforderliche Personen (wie Belegarzt als Operateur bzw. Anästhesist, Operationstechnische Assistenz (OTA), Anästhesiepflege, Instrumentar) und Personen, die den überwachten Bereich zu anderen Zwecken betreten (z.B. Reinigung, Techniker).
Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus der von der Verantwortlichen vorgelegten Datenschutz-Folgenabschätzung.
D. In rechtlicher Hinsicht folgt daraus:
Zu Spruchpunkt 1:
§§ 15 und 63a des Tiroler Krankenanstaltengesetzes – Tir KAG (LGBl. Nr. 5/1958) lauten auszugsweise:Paragraphen 15 und 63 a des Tiroler Krankenanstaltengesetzes – Tir KAG Landesgesetzblatt Nr. 5 aus 1958,) lauten auszugsweise:
§ 15Paragraph 15
Führung von Krankengeschichten und sonstigen Vormerkungen
(1) Die Träger der Krankenanstalten haben
a) über die Aufnahme und die Entlassung der Patienten Vormerke zu führen sowie im Fall der Ablehnung der Aufnahme und bei Aufnahme nach § 33 Abs. 1 zweiter Satz die jeweils dafür maßgebenden Gründe zu dokumentieren;a) über die Aufnahme und die Entlassung der Patienten Vormerke zu führen sowie im Fall der Ablehnung der Aufnahme und bei Aufnahme nach Paragraph 33, Absatz eins, zweiter Satz die jeweils dafür maßgebenden Gründe zu dokumentieren;
b) Krankengeschichten anzulegen, in denen
1. die Vorgeschichte der Erkrankung (Anamnese), der Zustand des Patienten zur Zeit der Aufnahme (status praesens), der Krankheitsverlauf (decursus morbi), die angeordneten Maßnahmen sowie die erbrachten ärztlichen und gegebenenfalls zahnärztlichen Leistungen einschließlich Medikation (insbesondere hinsichtlich Name, Dosis und Darreichungsform) und Aufklärung des Patienten und
2. sonstige angeordnete sowie erbrachte wesentliche Leistungen, insbesondere der pflegerischen und einer allfälligen psychologischen bzw. psychotherapeutischen Betreuung, sowie Leistungen der medizinisch-technischen Dienste,
darzustellen sind;
c) über jede Entnahme von Organen oder Organteilen eines Verstorbenen zum Zweck der Transplantation sowie über jede Entnahme von Zellen oder Gewebe eines Verstorbenen zur Verwendung beim Menschen eine Niederschrift aufzunehmen, die einen Bestandteil der Krankengeschichte bildet;
d) die Krankengeschichten mindestens 30 Jahre, allenfalls in Form von Mikrofilmen in doppelter Ausfertigung oder auf anderen gleichwertigen Informationsträgern, deren Lesbarkeit für den Aufbewahrungszeitraum gesichert sein muss, aufzubewahren. Die Verwahrung muß so erfolgen, daß eine mißbräuchliche Kenntnisnahme ihres Inhaltes ausgeschlossen ist. Röntgenbilder, Videoaufnahmen und andere Hilfsmittel zur Erstellung von Befunden sind mindestens zehn Jahre aufzubewahren;
e) den Gerichten und Verwaltungsbehörden in Angelegenheiten, in denen die Feststellung des Gesundheitszustandes für eine Entscheidung oder Verfügung im öffentlichen Interesse von Bedeutung ist, weiters den Versicherungsträgern im Sinne des § 52 und den Organen des Tiroler Gesundheitsfonds oder den von ihnen beauftragten Sachverständigen, soweit dies zur Wahrnehmung der ihnen obliegenden Aufgaben erforderlich ist, sowie den einweisenden oder weiterbehandelnden Ärzten, Zahnärzten oder Krankenanstalten auf Verlangen kostenlos Abschriften oder Ablichtungen von Krankengeschichten und ärztlichen Äußerungen über den Gesundheitszustand von Patienten zu übermitteln;e) den Gerichten und Verwaltungsbehörden in Angelegenheiten, in denen die Feststellung des Gesundheitszustandes für eine Entscheidung oder Verfügung im öffentlichen Interesse von Bedeutung ist, weiters den Versicherungsträgern im Sinne des Paragraph 52 und den Organen des Tiroler Gesundheitsfonds oder den von ihnen beauftragten Sachverständigen, soweit dies zur Wahrnehmung der ihnen obliegenden Aufgaben erforderlich ist, sowie den einweisenden oder weiterbehandelnden Ärzten, Zahnärzten oder Krankenanstalten auf Verlangen kostenlos Abschriften oder Ablichtungen von Krankengeschichten und ärztlichen Äußerungen über den Gesundheitszustand von Patienten zu übermitteln;
f) den mit Aufgaben des öffentlichen Gesundheitsdienstes betrauten Behörden alle Mitteilungen zu erstatten, die zur Einhaltung zwischenstaatlicher Verpflichtungen und zur Überwachung der Einhaltung bestehender Vorschriften erforderlich sind;
g) bei der Führung der Krankengeschichte Patientenverfügungen (§ 2 Abs. 1 des Patientenverfügungs-Gesetzes) des Patienten zu dokumentieren;g) bei der Führung der Krankengeschichte Patientenverfügungen (Paragraph 2, Absatz eins, des Patientenverfügungs-Gesetzes) des Patienten zu dokumentieren;
h) im Rahmen der Krankengeschichte allfällige Widersprüche zur Heranziehung zu Unterrichtszwecken (§ 44 des Bundesgesetzes über Krankenanstalten und Kuranstalten) und zur Entnahme von Organen (§ 5 Abs. 1 des Organtransplantationsgesetzes) zu dokumentieren.h) im Rahmen der Krankengeschichte allfällige Widersprüche zur Heranziehung zu Unterrichtszwecken (Paragraph 44, des Bundesgesetzes über Krankenanstalten und Kuranstalten) und zur Entnahme von Organen (Paragraph 5, Absatz eins, des Organtransplantationsgesetzes) zu dokumentieren.
(2) Die Führung der Krankengeschichte obliegt hinsichtlich der Aufzeichnungen
1. nach Abs. 1 lit. b Z 1 dem für die ärztliche Behandlung verantwortlichen Arzt, gegebenenfalls dem für die zahnärztliche Behandlung Verantwortlichen, und1. nach Absatz eins, Litera b, Ziffer eins, dem für die ärztliche Behandlung verantwortlichen Arzt, gegebenenfalls dem für die zahnärztliche Behandlung Verantwortlichen, und
2. nach Abs. 1 lit. b Z 2 der jeweils für die erbrachten sonstigen Leistungen verantwortlichen Person.2. nach Absatz eins, Litera b, Ziffer 2, der jeweils für die erbrachten sonstigen Leistungen verantwortlichen Person.
(3) Die Niederschrift nach Abs. 1 lit. c hat jedenfalls Angaben darüber zu enthalten, wie der Tod festgestellt wurde, wann der Tod eingetreten ist, welche Organe oder Organteile entnommen wurden und wann die Entnahme durchgeführt wurde. Die Niederschrift ist vom Arzt, der den Tod festgestellt hat, und vom Arzt, der die Entnahme durchgeführt hat, zu unterfertigen.(3) Die Niederschrift nach Absatz eins, Litera c, hat jedenfalls Angaben darüber zu enthalten, wie der Tod festgestellt wurde, wann der Tod eingetreten ist, welche Organe oder Organteile entnommen wurden und wann die Entnahme durchgeführt wurde. Die Niederschrift ist vom Arzt, der den Tod festgestellt hat, und vom Arzt, der die Entnahme durchgeführt hat, zu unterfertigen.
(4) Die Abgabe wissenschaftlich begründeter Gutachten wird durch Abs. 1 nicht berührt.(4) Die Abgabe wissenschaftlich begründeter Gutachten wird durch Absatz eins, nicht berührt.
(5) Für ambulante Untersuchungen und Behandlungen gilt Abs. 1 sinngemäß mit der Maßgabe, daß die Aufbewahrungsfrist mindestens zehn Jahre beträgt.(5) Für ambulante Untersuchungen und Behandlungen gilt Absatz eins, sinngemäß mit der Maßgabe, daß die Aufbewahrungsfrist mindestens zehn Jahre beträgt.
(6) Aufzeichnungen, die Geheimnisse betreffen, die Angehörigen des klinisch-psychologischen, gesundheitspsychologischen und psychotherapeutischen Berufes und ihren Hilfspersonen in Ausübung ihres Berufes anvertraut oder bekannt geworden sind, dürfen im Rahmen der Krankengeschichte oder der sonstigen Vormerke im Sinne des Abs. 1 lit. a nicht geführt werden.(6) Aufzeichnungen, die Geheimnisse betreffen, die Angehörigen des klinisch-psychologischen, gesundheitspsychologischen und psychotherapeutischen Berufes und ihren Hilfspersonen in Ausübung ihres Berufes anvertraut oder bekannt geworden sind, dürfen im Rahmen der Krankengeschichte oder der sonstigen Vormerke im Sinne des Absatz eins, Litera a, nicht geführt werden.
§ 63aParagraph 63 a
Verarbeitung personenbezogener Daten
[…]
(3) Die Rechtsträger von Krankenanstalten sind Verantwortliche nach Art. 4 Z 7 der Datenschutz-Grundverordnung bei der Erfüllung der ihnen nach diesem Gesetz übertragenen Aufgaben.(3) Die Rechtsträger von Krankenanstalten sind Verantwortliche nach Artikel 4, Ziffer 7, der Datenschutz-Grundverordnung bei der Erfüllung der ihnen nach diesem Gesetz übertragenen Aufgaben.
[…]
(11) Die nach Abs. 3 Verantwortlichen dürfen die im Rahmen des Betriebes einer Krankenanstalt nach den Bestimmungen dieses Gesetzes erforderlichen personenbezogenen Daten zum Zwecke der Dokumentation und Auskunftserteilung (§ 15) und der Abrechnung (§§ 39 bis 44) verarbeiten.(11) Die nach Absatz 3, Verantwortlichen dürfen die im Rahmen des Betriebes einer Krankenanstalt nach den Bestimmungen dieses Gesetzes erforderlichen personenbezogenen Daten zum Zwecke der Dokumentation und Auskunftserteilung (Paragraph 15,) und der Abrechnung (Paragraphen 39, bis 44) verarbeiten.
[…]
(14) Hinsichtlich der Verarbeitung personenbezogener Daten nach Abs. 11 sind die Pflichten und Rechte gemäß Art. 13, 14, 18 und 21 Datenschutz-Grundverordnung ausgeschlossen. Personenbezogene Daten gemäß Abs. 11, die der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen dienen, dürfen jedenfalls bis zu 30 Jahre gespeichert und gegebenenfalls verarbeitet werden.(14) Hinsichtlich der Verarbeitung personenbezogener Daten nach Absatz 11, sind die Pflichten und Rechte gemäß Artikel 13, 14, 18, und 21 Datenschutz-Grundverordnung ausgeschlossen. Personenbezogene Daten gemäß Absatz 11,, die der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen dienen, dürfen jedenfalls bis zu 30 Jahre gespeichert und gegebenenfalls verarbeitet werden.
[…]
D.1. Zur Qualifikation der Bilddaten aus den Operationssälen als Gesundheitsdaten nach Art. 4 Z 15 DSGVOD.1. Zur Qualifikation der Bilddaten aus den Operationssälen als Gesundheitsdaten nach Artikel 4, Ziffer 15, DSGVO
Nach Art. 4 Z 15 DSGVO werden „personenbezogene Daten“ dann als „Gesundheitsdaten“ qualifiziert, wenn sie sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus ihnen Informationen über den Gesundheitszustand einer betroffenen Person hervorgehen. In diesen Zusammenhang stellt ErwGr. 35 zweiter Satz DSGVO klar, dass zu Gesundheitsdaten auch Informationen über eine natürliche Person im Zuge der Erbringung von Gesundheitsdienstleistungen zählen.Nach Artikel 4, Ziffer 15, DSGVO werden „personenbezogene Daten“ dann als „Gesundheitsdaten“ qualifiziert, wenn sie sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus ihnen Informationen über den Gesundheitszustand einer betroffenen Person hervorgehen. In diesen Zusammenhang stellt ErwGr. 35 zweiter Satz DSGVO klar, dass zu Gesundheitsdaten auch Informationen über eine natürliche Person im Zuge der Erbringung von Gesundheitsdienstleistungen zählen.
Nach der Judikatur des EuGH Deckung ist der Begriff „Gesundheitsdatum“ weit auszulegen (vgl. zu Art. 8 Abs. 1 der Richtlinie 95/46 EuGH 06.11.2003, C-101/01, Rz 50 f).Nach der Judikatur des EuGH Deckung ist der Begriff „Gesundheitsdatum“ weit auszulegen vergleiche zu Artikel 8, Absatz eins, der Richtlinie 95/46 EuGH 06.11.2003, C-101/01, Rz 50 f).
Die gegenständlichen Videoaufnahmen aus den Operationssälen, bei denen Operationen live in anfangs vier, nunmehr drei, verschiedenen anderen Räumen mitverfolgt werden können, stellen somit unzweifelhaft Gesundheitsdaten der Patient:innen dar, da sie in einem gesundheitsbezogenen Kontext verarbeitet werden (vgl. dazu auch EuGH 01.08.2022, C-184/20, Rz 117 ff; DSB 19.11.2020, 2020-0.743.659, RIS).Die gegenständlichen Videoaufnahmen aus den Operationssälen, bei denen Operationen live in anfangs vier, nunmehr drei, verschiedenen anderen Räumen mitverfolgt werden können, stellen somit unzweifelhaft Gesundheitsdaten der Patient:innen dar, da sie in einem gesundheitsbezogenen Kontext verarbeitet werden vergleiche dazu auch EuGH 01.08.2022, C-184/20, Rz 117 ff; DSB 19.11.2020, 2020-0.743.659, RIS).
D.2. Zur Frage der Informationspflicht gegenüber den betroffenen Patient:innen
Gemäß Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).Gemäß Artikel 5, Absatz eins, Litera a, DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).
Jede Verarbeitung personenbezogener Daten sollte rechtmäßig und nach Treu und Glauben erfolgen. Für natürliche Personen sollte Transparenz dahingehend bestehen, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden (DSGVO, Erwägungsgrund 39, Satz 1 und 2).
Nach der ständigen Rechtsprechung des EuGH müssen alle in Art. 5 Abs. 1 DSGVO genannten Grundsätze erfüllt sein, damit eine Datenverarbeitung rechtmäßig ist (EuGH 02.12.2025, C-492/23, Rz 79).Nach der ständigen Rechtsprechung des EuGH müssen alle in Artikel 5, Absatz eins, DSGVO genannten Grundsätze erfüllt sein, damit eine Datenverarbeitung rechtmäßig ist (EuGH 02.12.2025, C-492/23, Rz 79).
Die Rechenschaftspflicht ergibt sich aus Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO und besagt, dass der Verantwortliche die Bestimmungen der DSGVO nicht nur einhalten muss, sondern auch dazu in der Lage sein muss, dies nachzuweisen. Den Verantwortlichen trifft somit die Beweislast für die Einhaltung der DSGVO (vgl. dazu EuGH 14.03.2024, C-46/23, Rz 32).Die Rechenschaftspflicht ergibt sich aus Artikel 5, Absatz 2 und Artikel 24, Absatz eins, DSGVO und besagt, dass der Verantwortliche die Bestimmungen der DSGVO nicht nur einhalten muss, sondern auch dazu in der Lage sein muss, dies nachzuweisen. Den Verantwortlichen trifft somit die Beweislast für die Einhaltung der DSGVO vergleiche dazu EuGH 14.03.2024, C-46/23, Rz 32).
Die Verantwortliche bringt vor, dass hinsichtlich der Videoüberwachung keine Information der Betroffenen erfolge. Aufgrund der Regelung in § 63a Abs. 14 Tir KAG, das für das Haus der Verantwortlichen Anwendung finde, sei sie von der Bereitstellung von Informationen für Betroffene bei der Erhebung sie betreffender personenbezogener Daten ausgenommen.Die Verantwortliche bringt vor, dass hinsichtlich der Videoüberwachung keine Information der Betroffenen erfolge. Aufgrund der Regelung in Paragraph 63 a, Absatz 14, Tir KAG, das für das Haus der Verantwortlichen Anwendung finde, sei sie von der Bereitstellung von Informationen für Betroffene bei der Erhebung sie betreffender personenbezogener Daten ausgenommen.
Der Wortlaut des § 63a Abs. 14 Tir KAG bezieht sich jedoch unmissverständlich nur auf die Verarbeitungen personenbezogener Daten nach Abs. 11 leg. cit. Eine Videoüberwachung in Operationssälen stellt jedoch weder eine Verarbeitung zum Zwecke der Dokumentation (insbesondere, da es sich um eine Echtzeitaufnahme handelt) und Auskunftserteilung, noch der Abrechnung dar, weshalb die in Abs. 14 leg. cit. normierte Ausnahme der Informationspflicht nach Art. 13 DSGVO hierfür nicht gelten kann.Der Wortlaut des Paragraph 63 a, Absatz 14, Tir KAG bezieht sich jedoch unmissverständlich nur auf die Verarbeitungen personenbezogener Daten nach Absatz 11, leg. cit. Eine Videoüberwachung in Operationssälen stellt jedoch weder eine Verarbeitung zum Zwecke der Dokumentation (insbesondere, da es sich um eine Echtzeitaufnahme handelt) und Auskunftserteilung, noch der Abrechnung dar, weshalb die in Absatz 14, leg. cit. normierte Ausnahme der Informationspflicht nach Artikel 13, DSGVO hierfür nicht gelten kann.
Auch kann eine Kennzeichnung an allen Zugängen zum Sanatorium, jeweils an der Grenze zwischen dem öffentlichen Bereich und dem privaten Bereich, in Form von Hinweisschildern „Videoüberwachung“ dem Erfordernis darüber zu informieren, dass Operationssäle während laufenden Operationen videoüberwacht werden, jedenfalls nicht genügen.
Für die betroffenen Personen besteht somit keine Transparenz dahingehend, dass sie betreffende personenbezogene Daten während der Operation durch eine Videoüberwachungsanlage verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden. Die Verantwortliche verstößt somit bereits gegen den Transparenzgrundsatz der DSGVO und erweist sich die verfahrensgegenständliche Datenverarbeitung bereits aus diesem Grund als rechtswidrig somit verstößt die Verantwortliche aufgrund der mangelnden Information der betroffenen Person gegen Art. 13 DSGVO.Für die betroffenen Personen besteht somit keine Transparenz dahingehend, dass sie betreffende personenbezogene Daten während der Operation durch eine Videoüberwachungsanlage verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden. Die Verantwortliche verstößt somit bereits gegen den Transparenzgrundsatz der DSGVO und erweist sich die verfahrensgegenständliche Datenverarbeitung bereits aus diesem Grund als rechtswidrig somit verstößt die Verantwortliche aufgrund der mangelnden Information der betroffenen Person gegen Artikel 13, DSGVO.
D.3. Zur Frage, ob eine gültige Rechtsgrundlage für die Verarbeitung vorliegt
Werden Daten iSd Art. 9 Abs. 1 DSGVO verarbeitet, so muss die Datenverarbeitung zumindest auf einen Rechtmäßigkeitsgrund nach Art. 6 Abs. 1 DSGVO sowie zusätzlich auf einen Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO gestützt werden können (vgl. nochmals EuGH 02.12.2025, C-492/23, Rz 81 bis 83).Werden Daten iSd Artikel 9, Absatz eins, DSGVO verarbeitet, so muss die Datenverarbeitung zumindest auf einen Rechtmäßigkeitsgrund nach Artikel 6, Absatz eins, DSGVO sowie zusätzlich auf einen Ausnahmetatbestand nach Artikel 9, Absatz 2, DSGVO gestützt werden können vergleiche nochmals EuGH 02.12.2025, C-492/23, Rz 81 bis 83).
Die Verantwortliche stützte sich zunächst auf Art. 6 Abs. 1 lit. f DSGVO.Die Verantwortliche stützte sich zunächst auf Artikel 6, Absatz eins, Litera f, DSGVO.
Dabei übersieht die Verantwortliche, dass die Rechtsgrundlage der berechtigten Interessen bei der Verarbeitung von Gesundheitsdaten - mangels Erwähnung in Art. 9 Abs. 2 DSGVO - von vornherein nicht in Betracht kommt.Dabei übersieht die Verantwortliche, dass die Rechtsgrundlage der berechtigten Interessen bei der Verarbeitung von Gesundheitsdaten - mangels Erwähnung in Artikel 9, Absatz 2, DSGVO - von vornherein nicht in Betracht kommt.
Mit Schreiben vom 12. September 2025 führte die Verantwortliche als Rechtsgrundlage für die Verarbeitungen Art. 6 Abs. 1 lit. c iVm Art. 9 Abs. 2 lit. h iVm Art. 9 Abs. 3 DSGVO iVm § 63a Tir KAG an.Mit Schreiben vom 12. September 2025 führte die Verantwortliche als Rechtsgrundlage für die Verarbeitungen Artikel 6, Absatz eins, Litera c, in Verbindung mit Artikel 9, Absatz 2, Litera h, in Verbindung mit Artikel 9, Absatz 3, DSGVO in Verbindung mit Paragraph 63 a, Tir KAG an.
Art. 9 Abs. 2 lit. h DSGVO gewährleistet die erforderliche Verarbeitung sensibler Daten, insbesondere von Gesundheitsdaten im Sinne von Art. 4 Z 15 für Zwecke der Gesundheitsvorsorge, der Arbeitsmedizin, der Beurteilung der Arbeitsfähigkeit des Beschäftigten, der medizinischen Diagnostik, der Versorgung oder Behandlung im Gesundheits- oder Sozialbereich und der Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich. Darunter sollen alle gesundheitsbezogenen Leistungen fallen, gleich ob sie präventiver, diagnostischer, kurativer oder nachsorgender Natur sind (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 9 DSGVO, Rz 51).Artikel 9, Absatz 2, Litera h, DSGVO gewährleistet die erforderliche Verarbeitung sensibler Daten, insbesondere von Gesundheitsdaten im Sinne von Artikel 4, Ziffer 15, für Zwecke der Gesundheitsvorsorge, der Arbeitsmedizin, der Beurteilung der Arbeitsfähigkeit des Beschäftigten, der medizinischen Diagnostik, der Versorgung oder Behandlung im Gesundheits- oder Sozialbereich und der Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich. Darunter sollen alle gesundheitsbezogenen Leistungen fallen, gleich ob sie präventiver, diagnostischer, kurativer oder nachsorgender Natur sind vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 9, DSGVO, Rz 51).
Art. 9 Abs. 3 DSGVO ist gemeinsam mit Art. 9 Abs. 2 lit. h DSGVO zu lesen, die wechselseitig aufeinander verweisen. Danach ist die Verarbeitung besonderer Kategorien personenbezogener Daten für die in Art. 9 Abs. 2 lit. h aufgezählten Zwecke nur dann erlaubt, wenn die Verarbeitung durch Fachpersonal oder unter deren Aufsicht erfolgt und das Fachpersonal dabei (nach dem Unionsrecht oder dem Recht eines MS oder den Vorschriften nationaler zuständiger Stellen, wie zB Standesregeln der zuständigen Kammer, einem Berufsgeheimnis unterliegt („Berufsgeheimnisträger“) oder, wenn die Verarbeitung durch eine andere Person erfolgt, die einer Geheimhaltungspflicht unterliegt.Artikel 9, Absatz 3, DSGVO ist gemeinsam mit Artikel 9, Absatz 2, Litera h, DSGVO zu lesen, die wechselseitig aufeinander verweisen. Danach ist die Verarbeitung besonderer Kategorien personenbezogener Daten für die in Artikel 9, Absatz 2, Litera h, aufgezählten Zwecke nur dann erlaubt, wenn die Verarbeitung durch Fachpersonal oder unter deren Aufsicht erfolgt und das Fachpersonal dabei (nach dem Unionsrecht oder dem Recht eines MS oder den Vorschriften nationaler zuständiger Stellen, wie zB Standesregeln der zuständigen Kammer, einem Berufsgeheimnis unterliegt („Berufsgeheimnisträger“) oder, wenn die Verarbeitung durch eine andere Person erfolgt, die einer Geheimhaltungspflicht unterliegt.
Darüber hinaus muss die Verarbeitung zu gesundheitsbezogenen Zwecken gemäß ErwGr 53 S 1 erforderlich sein und zwar, „wenn dies für das Erreichen dieser Zwecke im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt erforderlich ist“.
Gegenständlich kann jedenfalls nicht gesagt werden, dass die Videoüberwachungsanlage für die Zwecke des Behandlungs- oder Aufnahmevertrages als unbedingt erforderlich angesehen werden kann, zumal diese auch nicht für einen bestimmten Anlassfall erfolgt, sondern vielmehr präventiv für potentielle Einsätze.
Um sich auf Art. 6 Abs. 1 lit. b iVm Art. 9 Abs. 2 lit. g bzw. h DSGVO stützen zu können, wäre es erforderlich, dass die Datenverarbeitung den Hauptgegenstand des Vertrages darstellt und der Vertrag ohne diese Datenverarbeitung nicht erfüllt werden könnte. Mit anderen Worten: Die Datenverarbeitung müsste objektiv unerlässlich sein und nicht bloß von Nutzen für die betroffene Person (vgl. dazu EuGH 09.01.2025, C-394/23, Rz 33 und 34).Um sich auf Artikel 6, Absatz eins, Litera b, in Verbindung mit Artikel 9, Absatz 2, Litera g, bzw. h DSGVO stützen zu können, wäre es erforderlich, dass die Datenverarbeitung den Hauptgegenstand des Vertrages darstellt und der Vertrag ohne diese Datenverarbeitung nicht erfüllt werden könnte. Mit anderen Worten: Die Datenverarbeitung müsste objektiv unerlässlich sein und nicht bloß von Nutzen für die betroffene Person vergleiche dazu EuGH 09.01.2025, C-394/23, Rz 33 und 34).
Die Erforderlichkeit der gegenständlichen Videoüberwachung wird jedenfalls in der Stellungnahme der Österreichischen Ärztekammer bestritten und die Datenschutzbehörde sieht keinen Anlass, von dieser fachkundigen Einschätzung abzugehen.
Auch aus Sicht eines medizinischen Laien erscheint die gegenständliche Videoüberwachung jedenfalls nicht unbedingt erforderlich, um geplante Operationen in einem Belegspital durchführen zu können, selbst wenn das jeweilige Operationsteam nicht eingespielt ist (im Übrigen wird auch in öffentlichen Krankenanstalten nicht jede Operation vom selben Team durchgeführt).
Worin in § 63a Tir KAG die behauptete Rechtsgrundlage für die gegenständliche Datenverarbeitung erblickt wird, hat die Verantwortliche nicht weiter ausgeführt.Worin in Paragraph 63 a, Tir KAG die behauptete Rechtsgrundlage für die gegenständliche Datenverarbeitung erblickt wird, hat die Verantwortliche nicht weiter ausgeführt.
Die Datenschutzbehörde sieht hier aber insbesondere den Zweck der Dokumentation als nicht erfüllt an: Laut Duden wird unter „Dokumentation“ (https://www.duden.de/rechtschreibung/Dokumentation) die „Zusammenstellung und Nutzbarmachung von Dokumenten, Belegen und Materialien jeder Art“ wie auch „beweiskräftiges Zeugnis, anschaulicher Beweis“ verstanden. Eine „Dokumentation“ ist also etwas, das Bestand hat bzw. auf eine längere zeitliche Dauer angelegt ist und nicht - wie die gegenständliche Videoüberwachung in Echtzeit - nur für den Moment existiert. Daraus folgt, dass die gegenständliche Videoüberwachung keinen Dokumentationszweck verfolgt.
Es wurde von der Verantwortlichen auch nicht einmal ausgeführt, dass die Datenverarbeitung durch die Videokameras in die Dokumentation iSd § 15 Tir KAG einfließen würde und die Datenverarbeitung dort dokumentiert würde.Es wurde von der Verantwortlichen auch nicht einmal ausgeführt, dass die Datenverarbeitung durch die Videokameras in die Dokumentation iSd Paragraph 15, Tir KAG einfließen würde und die Datenverarbeitung dort dokumentiert würde.
Zusammenfassend stellt § 63a Tir KAG daher jedenfalls keine gesetzliche Grundlage iSd Art. 6 Abs. 1 lit. c iVm Art. 9 Abs. 2 lit. h DSGVO dar, auf die die Verantwortliche die Videoüberwachung der OP-Säle und damit Verarbeitung personenbezogener Daten der Patient:innen während laufenden Operationen stützen könnte.Zusammenfassend stellt Paragraph 63 a, Tir KAG daher jedenfalls keine gesetzliche Grundlage iSd Artikel 6, Absatz eins, Litera c, in Verbindung mit Artikel 9, Absatz 2, Litera h, DSGVO dar, auf die die Verantwortliche die Videoüberwachung der OP-Säle und damit Verarbeitung personenbezogener Daten der Patient:innen während laufenden Operationen stützen könnte.
Auch ein Abstützen auf den Behandlungs- bzw. Aufnahmevertrag ist aus den oben genannten Gründen nicht möglich.
Der Vollständigkeit halber weist die Datenschutzbehörde darauf hin, dass auch keine ausdrückliche Einwilligung der Patient:innen vorliegen kann, da eine gültige Einwilligung jedenfalls die Kenntnis der Datenverarbeitung sowie ein aktives Verhalten der betroffenen Person (vgl. EuGH 11.11.2020, C-61/19) erfordern würde. Auch eine Verarbeitung, welche im lebenswichtigen Interesse der betroffenen Personen erfolgt, liegt gegenständlich nicht vor, da die betroffenen Personen vor der geplanten Operation imstande wären, eine etwaige Einwilligung zu geben oder abzulehnen.Der Vollständigkeit halber weist die Datenschutzbehörde darauf hin, dass auch keine ausdrückliche Einwilligung der Patient:innen vorliegen kann, da eine gültige Einwilligung jedenfalls die Kenntnis der Datenverarbeitung sowie ein aktives Verhalten der betroffenen Person vergleiche EuGH 11.11.2020, C-61/19) erfordern würde. Auch eine Verarbeitung, welche im lebenswichtigen Interesse der betroffenen Personen erfolgt, liegt gegenständlich nicht vor, da die betroffenen Personen vor der geplanten Operation imstande wären, eine etwaige Einwilligung zu geben oder abzulehnen.
Eine Prüfung der Zulässigkeit der Bildverarbeitung in Bezug auf die weiteren betroffenen Personen, wie sie in den Sachverhaltsfeststellungen dargelegt sind, war in Anbetracht der obigen Ausführungen und der bereits daraus resultierenden Rechtswidrigkeit der Verarbeitung nicht erforderlich.
D.4. Zur Abhilfebefugnis der Datenschutzbehörde
Die Datenschutzbehörde verfügt gemäß Art. 58 Abs. 2 lit. d DSGVO über Abhilfebefugnisse, die es ihr gestatten, einen Verantwortlichen anzuweisen, Verarbeitungsvorgänge auf eine bestimmte Weise zu ändern bzw. durchzuführen.Die Datenschutzbehörde verfügt gemäß Artikel 58, Absatz 2, Litera d, DSGVO über Abhilfebefugnisse, die es ihr gestatten, einen Verantwortlichen anzuweisen, Verarbeitungsvorgänge auf eine bestimmte Weise zu ändern bzw. durchzuführen.
Festzuhalten ist, dass der EuGH mit Urteil vom 16. Juli 2020, C?311/18, in den Rz 111 ff ausgesprochen hat, dass Aufsichtsbehörden der unionsrechtlichen Verpflichtung unterliegen, bei festgestellten Unzulänglichkeiten von den in Art. 58 Abs. 2 DSGVO aufgezählten Abhilfebefugnissen in geeigneter Weise Gebrauch zu machen.Festzuhalten ist, dass der EuGH mit Urteil vom 16. Juli 2020, C?311/18, in den Rz 111 ff ausgesprochen hat, dass Aufsichtsbehörden der unionsrechtlichen Verpflichtung unterliegen, bei festgestellten Unzulänglichkeiten von den in Artikel 58, Absatz 2, DSGVO aufgezählten Abhilfebefugnissen in geeigneter Weise Gebrauch zu machen.
Da die prüfgegenständliche Datenverarbeitung mangels zulässiger Rechtsgrundlage bereits unrechtmäßig erfolgt, war der Verantwortlichen ein entsprechender Leistungsauftrag zu erteilen und die Datenverarbeitung zu untersagen.
Da es sich gegenständlich um eine Bildverarbeitung als Echtzeitübertragung handelt, konnte die Anordnung einer Löschung von personenbezogenen Daten unterbleiben.
Die Verantwortliche ist abschließend darauf hinzuweisen, dass als möglicher Erlaubnistatbestand für die gegenständliche Videoüberwachung gemäß Art 9 Abs. 2 lit a DSGVO die Einwilligung der von der Videoüberwachung in den Operationssälen Betroffenen (Patient:innen; Medizinisches Personal, das die jeweilige Operation durchführt) in Frage käme, welche jedoch vor Durchführung der Datenverarbeitung einzuholen wäre und müsste die Einwilligung freiwillig sein, es dürfte die Durchführung der Operation nicht an die Einwilligung gekoppelt sein.Die Verantwortliche ist abschließend darauf hinzuweisen, dass als möglicher Erlaubnistatbestand für die gegenständliche Videoüberwachung gemäß Artikel 9, Absatz 2, Litera a, DSGVO die Einwilligung der von der Videoüberwachung in den Operationssälen Betroffenen (Patient:innen; Medizinisches Personal, das die jeweilige Operation durchführt) in Frage käme, welche jedoch vor Durchführung der Datenverarbeitung einzuholen wäre und müsste die Einwilligung freiwillig sein, es dürfte die Durchführung der Operation nicht an die Einwilligung gekoppelt sein.
Davon unberührt bleibt eine allfällige Mitwirkungsbefugnis des Betriebsrates.
Zu Spruchpunkt 2:
Der Ausschluss der aufschiebenden Wirkung gründet sich auf § 13 Abs. 2 VwGVG.Der Ausschluss der aufschiebenden Wirkung gründet sich auf Paragraph 13, Absatz 2, VwGVG.
Der vorliegende Eingriff in die Sphäre der zu behandelnden Patientinnen und Patienten ist als schwerwiegend zu beurteilen.
Der Ausschluss der aufschiebenden Wirkung ist somit angebracht, um die datenschutzrechtlichen Interessen dieser Personengruppe wegen Gefahr im Verzug zu wahren.
Es war spruchgemäß zu entscheiden.
Schlagworte
Anweisung an Verantwortlichen, Rechtmäßigkeit der Verarbeitung, besonders geschützte Daten, Gesundheitsdaten, Untersagung der Verarbeitung, Ausschluss aufschiebende Wirkung, juristische Person, Gesellschaft m.b.H., Krankenhaus, Krankenanstalt, Klinik, Bildverarbeitung, Videoüberwachung, Echtzeitüberwachung, OperationssaalEuropean Case Law Identifier (ECLI)
ECLI:AT:DSB:2026:2025.0.745.017Zuletzt aktualisiert am
21.09.2026
