Norm
DSG §1 Abs1Text
GZ: 2025-0.691.518 vom 9. Jänner 2026 (Verfahrenszahl: DSB-D124.0876/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.
Die Bezeichnung (die Firma) der beschwerdegegnerischen Partei ergibt sich aus den angewendeten Rechtsvorschriften.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Sigrid A*** (Beschwerdeführerin) vom 31. März 2025 (verbessert mit Eingabe vom 18. Mai 2025) gegen die KABEG - Kärntner Landeskrankenanstalten-Betriebsgesellschaft (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt:
Rechtsgrundlagen: Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Gesetz vom 25. Februar 1993 über die Organisation und die Betriebsführung der Landeskrankenanstalten (Kärntner Landeskrankenanstalten-Betriebsgesetz - K-LKABG) StF: LGBl Nr. 44/1993; Kärntner Dienstrechtsgesetz 1994 (K-DRG 1994), StF: LGBl Nr. 71/1994 idgF; Kärntner Landesvertragsbedienstetengesetz 1994 (K-LVBG 1994), LGBl. Nr. 73/1994 idgF;Rechtsgrundlagen: Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Paragraphen eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Gesetz vom 25. Februar 1993 über die Organisation und die Betriebsführung der Landeskrankenanstalten (Kärntner Landeskrankenanstalten-Betriebsgesetz - K-LKABG) Stammfassung, Landesgesetzblatt Nr. 44 aus 1993,; Kärntner Dienstrechtsgesetz 1994 (K-DRG 1994), Stammfassung, Landesgesetzblatt Nr. 71 aus 1994, idgF; Kärntner Landesvertragsbedienstetengesetz 1994 (K-LVBG 1994), Landesgesetzblatt Nr. 73 aus 1994, idgF;
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
A.1. Mit Beschwerde vom 31. März 2025 (verbessert mit Eingabe vom 18. Mai 2025) behauptete die Beschwerdeführerin im Wesentlichen dadurch in Ihrem Recht auf Geheimhaltung verletzt wurde, indem Bedienstete der Dienstführung der Beschwerdegegnerin Kontakt mit der Pensionsversicherungsanstalt (PVA) aufgenommen haben und rechtswidrig personenbezogene Gesundheitsdaten zur Beschwerdeführerin eingeholt haben. Konkret seien Informationen zum Gesundheitszustand der Beschwerdeführerin im Zusammenhang mit einem Antrag auf Kurbehandlung eingeholt worden.
A.2. Mit Schreiben vom 21. Juli 2025 nahm die Beschwerdegegnerin Stellung.
A.3. Mit Schreiben vom 11. August 2025 und Ergänzung vom 22. August 2025 nahm die Beschwerdeführerin im Rahmen des Parteiengehörs Stellung.
A.4. Mit Eingabe vom 10. Oktober 2025 erhob die Beschwerdegegnerin Säumnisbeschwerde.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdeführerin dadurch in Ihrem Recht auf Geheimhaltung gemäß § 1 DSG verletzt wurde, indem Bedienstete der Dienstführung (Abteilung Personalmanagement) der Beschwerdegegnerin Kontakt mit der Pensionsversicherungsanstalt (PVA) aufgenommen haben und rechtswidrig personenbezogene Gesundheitsdaten zur Beschwerdeführerin im Zusammenhang mit dem bewilligten Heilverfahren für die „Med***-Vorsorge & Prävention (MV&P)“ von der PVA eingeholt haben. Insbesondere ist auch zu prüfen, ob ein schutzwürdiges Interesse iSd. § 1 DSG vorlag.Beschwerdegegenstand ist die Frage, ob die Beschwerdeführerin dadurch in Ihrem Recht auf Geheimhaltung gemäß Paragraph eins, DSG verletzt wurde, indem Bedienstete der Dienstführung (Abteilung Personalmanagement) der Beschwerdegegnerin Kontakt mit der Pensionsversicherungsanstalt (PVA) aufgenommen haben und rechtswidrig personenbezogene Gesundheitsdaten zur Beschwerdeführerin im Zusammenhang mit dem bewilligten Heilverfahren für die „Med***-Vorsorge & Prävention (MV&P)“ von der PVA eingeholt haben. Insbesondere ist auch zu prüfen, ob ein schutzwürdiges Interesse iSd. Paragraph eins, DSG vorlag.
Bei der Frage, ob die Versagung der Genehmigung durch die Beschwerdegegnerin, das bewilligte Heilverfahren „Med***-Vorsorge & Prävention (MV&P)“ im Zeitraum von 14.07.2025 bis 04.08.2025 anzutreten, rechtmäßig erfolgt ist oder nicht, handelt es sich nicht um eine datenschutzrechtliche Fragestellung und kann diese somit nicht vom Beschwerdegegenstand eines Verfahrens vor der Datenschutzbehörde umfasst sein.
C. Sachverhaltsfeststellungen
C.1. Die Beschwerdeführerin steht als Landesvertragsbedienstete in einem aufrechten Dienstverhältnis mit dem Land Kärnten und verrichtet ihren Dienst als Diplomierte Gesundheits- und Krankenpflegerin auf einer klinischen Station der Beschwerdegegnerin im Klinikum B***.
C.2. Der Beschwerdeführerin wurde im Frühjahr 2025 ein Heilverfahren für die „Med***-Vorsorge & Prävention (MV&P)“ vom zuständigen Sozialversicherungsträger bewilligt, wobei das spätestmögliche Antrittsdatum bis 27.02.2026 zeitlich befristet wurde.
C.3. Die Beschwerdeführerin ersuchte im März 2025 um Gewährung einer Dienstbefreiung für die Dauer der "Med***-Vorsorge & Prävention (MV&P)" vom 14.07.2025 bis 04.08.2025 und legte ihrer Vorgesetzten hierfür die entsprechende "Einladung zum Gesundheitsaufenthalt" vom 14.03.2025 vor, wobei als Aufenthaltsort ein „Gesundheits- und Kurhotel“ angeführt war. In diesem Zusammenhang legte die Beschwerdeführerin der Beschwerdegegnerin folgendes Schreiben des T***-Hotel vom 14. März 2025 vor (Wiedergabe im Original, Briefkopf nicht wiedergegeben):
[Anmerkung Bearbeiter/in: Das an dieser Stelle im Original als Faksimile (grafische Datei) wiedergegebene Schreiben eines Gesundheitshotels mit dem Namen der Beschwerdeführerin und Angaben, die Rückschlüsse auf ihre Gesundheit ermöglichen, konnte mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt.]
Beweiswürdigung: Die Feststellungen C.1. bis C.3. ergeben sich aus dem insofern unstrittigen Parteivorbringen und dem vorliegenden Schriftverkehr zwischen den Parteien sowie der in Beilage vorgelegten "Einladung zum Gesundheitsaufenthalt" datiert mit 14.03.2025.
C.4. Die ersuchte Gewährung einer Dienstbefreiung wurde von ihrer Vorgesetzten aufgrund zwingend dienstlicher Gründe gem. § 59 Abs 1 K-LVBG, insbesondere aufgrund der vielen (urlaubsbedingten) Abwesenheiten in den Sommermonaten und den damit verbundenen Personalengpässen, nicht genehmigt. Die Beschwerdeführerin wurde angehalten einen Termin für den Aufenthalt außerhalb der Sommermonate zu vereinbaren.C.4. Die ersuchte Gewährung einer Dienstbefreiung wurde von ihrer Vorgesetzten aufgrund zwingend dienstlicher Gründe gem. Paragraph 59, Absatz eins, K-LVBG, insbesondere aufgrund der vielen (urlaubsbedingten) Abwesenheiten in den Sommermonaten und den damit verbundenen Personalengpässen, nicht genehmigt. Die Beschwerdeführerin wurde angehalten einen Termin für den Aufenthalt außerhalb der Sommermonate zu vereinbaren.
C.5. Am 20. März fand ein Gespräch zwischen der Beschwerdeführerin und der Abteilungsleiterin Pflege der Beschwerdegegnerin statt. Im Anschluss darauf übermittelte die Beschwerdeführerin ein Schreiben an die Beschwerdegegnerin, in welchem die Beschwerdeführerin klarstellte, dass dieser Aufenthalt durch den zuständigen Sozialversicherungsträger bewilligt worden sei, da eine medizinische Notwendigkeit für den Termin bestehe. Die Zuweisung eines kurzfristigen Termins sei dabei auf Basis der fachlichen Beurteilung des Versicherungsträgers erfolgt, dessen Entscheidung auf einer dringlichen medizinischen Indikation beruhe.
C.6. Aufgrund der Behauptung der Beschwerdeführerin, dass es sich bei dem geplanten Aufenthalt um einen medizinisch notwendigen Aufenthalt mit dringlicher medizinischer Indikation handle, erfolgte eine telefonische Rücksprache durch eine Bedienstete der Beschwerdegegnerin (Abteilung Personalmanagement) beim zuständigen Sozialversicherungsträger (PVA, Landesstelle Kärnten). Dabei wurde nachgefragt, ob es sich bei dem geplanten Aufenthalt der Beschwerdeführerin um eine Kur oder Rehabilitation handle und es wurde der Bewilligungszeitraum erfragt. Die PVA erteilte am Telefon die Auskunft, dass es sich bei der „Med***-Vorsorge & Prävention (MV&P)“ - wie der Name schon vermuten lasse - um eine Gesundheitsvorsorge handle und wurde die generelle Vorgehensweise bei solchen Gesundheitsprogrammen erläutert. Die PVA teilte weiters mit, dass ein Dienstnehmer grundsätzlich ein Jahr Zeit habe, das bewilligte Programm in Anspruch zu nehmen, und dass dieser Zeitrahmen bei der Beschwerdeführerin noch bis 27. Februar 2026 reiche.
C.7. Eine Bedienstete der Abteilung Personalmanagement wiederholte der Beschwerdeführerin gegenüber mit Schreiben vom 26. März 2025 nochmals schriftlich, dass der Kuraufenthalt durch die Abteilungsleiterin Pflege aus zwingenden dienstlichen Gründen gem. § 59 Abs 1 KLVBG 1994 nicht genehmigt worden sei. Der Beschwerdeführerin wurde weiters mitgeteilt, dass auf anderen Stationen Kuraufenthalte in den Sommermonaten auf Grund der vielen Abwesenheiten (Urlaube) und Personalengpässe nicht genehmigt werden würden und man Mitarbeiter*innen ersuche, die Kur auf einen anderen Zeitpunkt zu verschieben. C.7. Eine Bedienstete der Abteilung Personalmanagement wiederholte der Beschwerdeführerin gegenüber mit Schreiben vom 26. März 2025 nochmals schriftlich, dass der Kuraufenthalt durch die Abteilungsleiterin Pflege aus zwingenden dienstlichen Gründen gem. Paragraph 59, Absatz eins, KLVBG 1994 nicht genehmigt worden sei. Der Beschwerdeführerin wurde weiters mitgeteilt, dass auf anderen Stationen Kuraufenthalte in den Sommermonaten auf Grund der vielen Abwesenheiten (Urlaube) und Personalengpässe nicht genehmigt werden würden und man Mitarbeiter*innen ersuche, die Kur auf einen anderen Zeitpunkt zu verschieben.
Man werde diesbezüglich bei der Beschwerdeführerin keine Ausnahme machen und werde Sie angehalten mit der Kuranstalt einen neuen Termin zu außerhalb der Sommermonate Juli und August zu vereinbaren. Es sei eine Rücksprache mit der PVA erfolgt, die ergeben habe, dass es sich gegenständlich um eine Gesundheitsvorsorge und nicht um eine Rehabilitation handle, wobei die Beschwerdeführerin noch bis 27.02.2026 Zeit habe, die Kur anzutreten. Der Sozialversicherungsträger gebe nur den Zeitrahmen vor, in welchem die Kur angetreten werden kann. Die genaue Terminvereinbarung erfolge direkt mit der Kuranstalt. Für den Sozialversicherungsträger sei es somit unerheblich, wann die Kur tatsächlich angetreten werde, solange sie innerhalb des vorgegebenen Zeitrahmens liege. Da es sich darüber hinaus offenkundig um eine Präventivmaßnahme und nicht um eine Rehabilitation handle, werde die Wirksamkeit auch noch zu einem späteren Zeitpunkt gegeben sein.
Beweiswürdigung: Die Feststellungen C.4. bis C.7. ergeben sich aus dem insofern unstrittigen Parteivorbringen und dem im Verfahrensakt vorliegenden Schriftverkehr zwischen den Parteien. Weiters aus der von der Beschwerdegegnerin vorgelegten Beilage ./03 (Internes E-Mail vom 24. Juni 2025 von der Bediensteten aus der Abteilung Personalmanagement an die Datenschutzbeauftragte der Beschwerdegegnerin zum Telefongespräch mit der PVA).
D. In rechtlicher Hinsicht folgt daraus:
D.1. Allgemeines zum Recht auf Geheimhaltung
Nach § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Nach Paragraph eins, Absatz eins, DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Beschränkungen des Anspruchs auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt ist.Beschränkungen des Anspruchs auf Geheimhaltung sind gemäß Paragraph eins, Absatz 2, DSG dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt ist.
Im gegenständlichen Fall handelt es sich bei der Beschwerdegegnerin gemäß § 2 Abs. 1 K-LKABG um eine Anstalt öffentlichen Rechts und somit um eine Verantwortliche des öffentlichen Bereichs, weshalb nur eine qualifizierte gesetzliche Grundlage als Erlaubnistatbestand in Betracht kommt (vgl. § 1 Abs. 2 DSG und Art. 6 Abs. 1 zweiter Satz DSGVO) und sich die Beschwerdegegnerin nicht auf berechtigte Interessen stützen kann. Solche Gesetze müssen ausreichend präzise, also für jedermann vorhersehbar regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben zulässig ist, also einen ausreichend hohen Determinierungsgrad aufweisen (VfSlg. 18.643/2008; vgl. dazu auch das Erkenntnis des VfGH vom 12. Dezember 2019 zu G 164/2019-25 und G 171/2019-24). Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (Verhältnismäßigkeit).Im gegenständlichen Fall handelt es sich bei der Beschwerdegegnerin gemäß Paragraph 2, Absatz eins, K-LKABG um eine Anstalt öffentlichen Rechts und somit um eine Verantwortliche des öffentlichen Bereichs, weshalb nur eine qualifizierte gesetzliche Grundlage als Erlaubnistatbestand in Betracht kommt vergleiche Paragraph eins, Absatz 2, DSG und Artikel 6, Absatz eins, zweiter Satz DSGVO) und sich die Beschwerdegegnerin nicht auf berechtigte Interessen stützen kann. Solche Gesetze müssen ausreichend präzise, also für jedermann vorhersehbar regeln, unter welchen Voraussetzungen die Ermittlung bzw. die Verwendung personenbezogener Daten für die Wahrnehmung konkreter Verwaltungsaufgaben zulässig ist, also einen ausreichend hohen Determinierungsgrad aufweisen (VfSlg. 18.643 aus 2008,; vergleiche dazu auch das Erkenntnis des VfGH vom 12. Dezember 2019 zu G 164/2019-25 und G 171/2019-24). Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (Verhältnismäßigkeit).
D.2. Zu personenbezogenen Gesundheitsdaten nach Art. 9 DSGVOD.2. Zu personenbezogenen Gesundheitsdaten nach Artikel 9, DSGVO
Gemäß Art. 4 Z 15 DSGVO sind Gesundheitsdaten personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.Gemäß Artikel 4, Ziffer 15, DSGVO sind Gesundheitsdaten personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.
Diesbezüglich ist zunächst festzuhalten, dass der Wortlaut des Art. 4 Z 15 DSGVO nicht an eine gewisse (Mindest-) Beeinträchtigung der körperlichen oder geistigen Gesundheit anknüpft, was für eine weite Auslegung des Begriffs des „Gesundheitsdatums“ spricht. Noch deutlicher wird dies in ErwGr. 35 der Verordnung, wonach zu den personenbezogenen Gesundheitsdaten alle Daten zählen sollten, aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen.Diesbezüglich ist zunächst festzuhalten, dass der Wortlaut des Artikel 4, Ziffer 15, DSGVO nicht an eine gewisse (Mindest-) Beeinträchtigung der körperlichen oder geistigen Gesundheit anknüpft, was für eine weite Auslegung des Begriffs des „Gesundheitsdatums“ spricht. Noch deutlicher wird dies in ErwGr. 35 der Verordnung, wonach zu den personenbezogenen Gesundheitsdaten alle Daten zählen sollten, aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen.
Diese Überlegungen finden auch in der Judikatur des EuGH Deckung, wonach der Begriff „Gesundheitsdatum“ weit auszulegen ist (vgl. zur insofern vergleichbaren Rechtslage nach der Richtlinie 95/46 das Urteil des EuGH vom 6. November 2003, C 101/01, Rs Lindqvist, Rz 50 f).Diese Überlegungen finden auch in der Judikatur des EuGH Deckung, wonach der Begriff „Gesundheitsdatum“ weit auszulegen ist vergleiche zur insofern vergleichbaren Rechtslage nach der Richtlinie 95/46 das Urteil des EuGH vom 6. November 2003, C 101/01, Rs Lindqvist, Rz 50 f).
Die Verarbeitung von Gesundheitsdaten ist gemäß Art. 9 DSGVO grundsätzlich untersagt und nur in den in Abs. 2 leg. cit. normierten Ausnahmefällen zulässig. Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung von sensiblen Daten, um rechtmäßig iSd. DSGVO zu sein, allen in Art. 5 Abs. 1 DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand nach Art. 6 Abs. 1 DSGVO sowie Art. 9 DSGVO gestützt werden können (siehe bspw. das Urteil vom 4. Mai 2023, C-60/22). Den Verantwortlichen trifft dafür die Beweislast.Die Verarbeitung von Gesundheitsdaten ist gemäß Artikel 9, DSGVO grundsätzlich untersagt und nur in den in Absatz 2, leg. cit. normierten Ausnahmefällen zulässig. Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung von sensiblen Daten, um rechtmäßig iSd. DSGVO zu sein, allen in Artikel 5, Absatz eins, DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand nach Artikel 6, Absatz eins, DSGVO sowie Artikel 9, DSGVO gestützt werden können (siehe bspw. das Urteil vom 4. Mai 2023, C-60/22). Den Verantwortlichen trifft dafür die Beweislast.
Grundsätzlich erfordert sowohl die Antragstellung durch einen Arzt, als auch die Bewilligung einer Kur, einer Rehabilitation oder einer Gesundheitsvorsorge durch einen Kranken- oder Pensionsversicherungsträger eine gewisse medizinische Indikation für eine solche Maßnahme.
Als Zwischenergebnis ist festzuhalten: Die Tatsache, dass der Beschwerdeführerin eine Gesundheitsvorsorge von der Pensionsversicherungsanstalt bewilligt wurde, stellt jedenfalls ein personenbezogenes Gesundheitsdatum iSd. Art. 9 DSGVO dar.Als Zwischenergebnis ist festzuhalten: Die Tatsache, dass der Beschwerdeführerin eine Gesundheitsvorsorge von der Pensionsversicherungsanstalt bewilligt wurde, stellt jedenfalls ein personenbezogenes Gesundheitsdatum iSd. Artikel 9, DSGVO dar.
D.3. In der Sache
Gegenständlich hat - wie festgestellt - eine Bedienstete der Beschwerdegegnerin telefonisch bei der Pensionsversicherungsanstalt nachgefragt, ob es sich bei der Gesundheitsmaßnahme der Beschwerdeführerin um eine Kur oder Rehabilitation handle und es wurde der Bewilligungszeitraum erfragt. Es stellt sich beschwerdegegenständlich die Frage, ob die Beschwerdeführerin durch diese telefonische Informationsbeschaffung in Ihrem Recht auf Geheimhaltung verletzt wurde.
D.3.1. Gesetzliche Grundlage
Ganz grundsätzlich kommt als qualifizierte gesetzliche Grundlage für die Verarbeitung der Gesundheitsdaten der Beschwerdeführerin durch die Beschwerdegegnerin Art. 9 Abs. 2 lit. b DSGVO iVm. § 305 K-DRG 1994 iVm § 59 K-LVBG 1994 in Betracht. Ganz grundsätzlich kommt als qualifizierte gesetzliche Grundlage für die Verarbeitung der Gesundheitsdaten der Beschwerdeführerin durch die Beschwerdegegnerin Artikel 9, Absatz 2, Litera b, DSGVO in Verbindung mit Paragraph 305, K-DRG 1994 in Verbindung mit Paragraph 59, K-LVBG 1994 in Betracht.
§ 305 K-DRG 1994 (Datenverarbeitungen) ermächtigt zusammengefasst zur Verarbeitung von personenbezogenen Daten von Personen, die in einem Dienstverhältnis zum Land Kärnten stehen bzw. in einem Dienstverhältnis zu einem Dritten stehen, bei dem das Land den wirtschaftlichen Aufwand zur Gänze oder zum Teil trägt und die zugehörigen administrativen Tätigkeiten selbst durchführt. § 305 Abs. 4 K-DRG 1994 normiert, dass § 305 Abs. 1 bis 3a K-DRG 1994 abweichend von § 1 K-DRG 1994 für alle betroffenen Personen gemäß Abs. 1 gilt (somit auch für Landesvertragsbedienstete wie die Beschwerdeführerin).Paragraph 305, K-DRG 1994 (Datenverarbeitungen) ermächtigt zusammengefasst zur Verarbeitung von personenbezogenen Daten von Personen, die in einem Dienstverhältnis zum Land Kärnten stehen bzw. in einem Dienstverhältnis zu einem Dritten stehen, bei dem das Land den wirtschaftlichen Aufwand zur Gänze oder zum Teil trägt und die zugehörigen administrativen Tätigkeiten selbst durchführt. Paragraph 305, Absatz 4, K-DRG 1994 normiert, dass Paragraph 305, Absatz eins, bis 3a K-DRG 1994 abweichend von Paragraph eins, K-DRG 1994 für alle betroffenen Personen gemäß Absatz eins, gilt (somit auch für Landesvertragsbedienstete wie die Beschwerdeführerin).
Aus Art. 9 Abs. 2 lit. b DSGVO folgt, dass die Möglichkeit, sensible Daten wie Gesundheitsdaten zu verarbeiten erforderlich sein kann, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist.Aus Artikel 9, Absatz 2, Litera b, DSGVO folgt, dass die Möglichkeit, sensible Daten wie Gesundheitsdaten zu verarbeiten erforderlich sein kann, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist.
Eine solche Regelung muss nach der Judikatur des EuGH nach nationalem Recht bindend sein und insbesondere Angaben dazu enthalten, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsieht, getroffen werden darf, damit gewährleistet ist, dass sich der Eingriff auf das absolut Notwendige beschränkt. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisiert verarbeitet werden, vor allem wenn eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht. Diese Erwägungen gelten in besonderem Maß, wenn es (wie gegenständlich) um den Schutz der besonderen Kategorie sensibler personenbezogener Daten geht (vgl. zuletzt das Urteil vom 6. Oktober 2020, C-511/18, C-512/18 und C-520/18, Rz 132 mwN).Eine solche Regelung muss nach der Judikatur des EuGH nach nationalem Recht bindend sein und insbesondere Angaben dazu enthalten, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsieht, getroffen werden darf, damit gewährleistet ist, dass sich der Eingriff auf das absolut Notwendige beschränkt. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisiert verarbeitet werden, vor allem wenn eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht. Diese Erwägungen gelten in besonderem Maß, wenn es (wie gegenständlich) um den Schutz der besonderen Kategorie sensibler personenbezogener Daten geht vergleiche zuletzt das Urteil vom 6. Oktober 2020, C-511/18, C-512/18 und C-520/18, Rz 132 mwN).
Für Arbeitgeber kann die Verarbeitung von Gesundheitsdaten insbesondere betreffend Krankenstandstage und Kuraufenthalte erforderlich sein, wobei sich aus Art. 9 Abs. 2 lit. b DSGVO kein selbständiger Zulässigkeitstatbestand ergibt, vielmehr muss sich die Erforderlichkeit der Verarbeitung sensibler Daten aus einer gesonderten unionsrechtlichen oder innerstaatlichen Norm ergeben, wozu auch Kollektivvereinbarungen und Betriebsvereinbarungen zählen. Die (erforderliche) Verarbeitung von Gesundheitsdaten durch den Dienstgeber kann beispielsweise auf lit. b iVm. mit den einschlägigen Bestimmungen zur Fürsorgepflicht gestützt werden (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 9 DSGVO Rz 35f).Für Arbeitgeber kann die Verarbeitung von Gesundheitsdaten insbesondere betreffend Krankenstandstage und Kuraufenthalte erforderlich sein, wobei sich aus Artikel 9, Absatz 2, Litera b, DSGVO kein selbständiger Zulässigkeitstatbestand ergibt, vielmehr muss sich die Erforderlichkeit der Verarbeitung sensibler Daten aus einer gesonderten unionsrechtlichen oder innerstaatlichen Norm ergeben, wozu auch Kollektivvereinbarungen und Betriebsvereinbarungen zählen. Die (erforderliche) Verarbeitung von Gesundheitsdaten durch den Dienstgeber kann beispielsweise auf Litera b, in Verbindung mit mit den einschlägigen Bestimmungen zur Fürsorgepflicht gestützt werden (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 9, DSGVO Rz 35f).
Gemäß § 59 K-LVBG 1994 ist Vertragsbediensteten auf Antrag für die Dauer eines Kuraufenthaltes Dienstbefreiung zu gewähren, wenn ein Sozialversicherungsträger oder ein Bundesamt für Soziales und Behindertenwesen die Kosten der Kur trägt oder einen Kurkostenbeitrag leistet und die Kur ärztlich angeordnet und überwacht wird und sofern nicht zwingende dienstliche Gründe entgegenstehen. Kenntnis über den Bewilligungszeitraum ist notwendig um eine Verschiebung aus zwingenden dienstlichen Gründen prüfen zu können.Gemäß Paragraph 59, K-LVBG 1994 ist Vertragsbediensteten auf Antrag für die Dauer eines Kuraufenthaltes Dienstbefreiung zu gewähren, wenn ein Sozialversicherungsträger oder ein Bundesamt für Soziales und Behindertenwesen die Kosten der Kur trägt oder einen Kurkostenbeitrag leistet und die Kur ärztlich angeordnet und überwacht wird und sofern nicht zwingende dienstliche Gründe entgegenstehen. Kenntnis über den Bewilligungszeitraum ist notwendig um eine Verschiebung aus zwingenden dienstlichen Gründen prüfen zu können.
Eine vergleichbare Regelung zu Rehabilitationen, wonach diese nicht zu gewähren sind, wenn zwingende dienstliche Gründe entgegenstehen, findet sich im K-LVBG 1994 nicht.
In diesem Zusammenhang ist darauf hinzuweisen, dass die „Gesundheitsvorsorge der Pensionsversicherungsträger“ erst seit Juli 2024 im Allgemeinen Sozialversicherungsgesetz (ASVG) normiert ist und diese im K-LVBG 1994 keine ausdrückliche Erwähnung findet. Die Versicherungsanstalt öffentlich Bediensteter, Eisenbahnen und Bergbau (BVAEB) definiert das Therapiekonzept der „Med***-Vorsorge & Prävention“ als „ein medizinisch neu gestaltetes Kur-Programm auf Grund einer oder mehrerer Erkrankungen des L***. Med***-Vorsorge & Prävention Aufenthalte werden unter den gleichen Voraussetzungen, wie sie für Kuraufenthalte gelten, für die Dauer von 22 Tagen bewilligt.“
Als Zwischenergebnis kann festgehalten werden, dass die Verarbeitung von Gesundheitsdaten der Beschwerdeführerin im Zusammenhang mit der „Med***-Vorsorge & Prävention“ durch die Beschwerdegegnerin gemäß Art. 9 Abs. 2 lit. b DSGVO iVm. § 305 K-DRG 1994 iVm. § 59 K-LVBG 1994 gesetzlich erforderlich und zulässig ist.Als Zwischenergebnis kann festgehalten werden, dass die Verarbeitung von Gesundheitsdaten der Beschwerdeführerin im Zusammenhang mit der „Med***-Vorsorge & Prävention“ durch die Beschwerdegegnerin gemäß Artikel 9, Absatz 2, Litera b, DSGVO in Verbindung mit Paragraph 305, K-DRG 1994 in Verbindung mit Paragraph 59, K-LVBG 1994 gesetzlich erforderlich und zulässig ist.
D.3.2. Schutzwürdiges Geheimhaltungsinteresse
Für die Beschwerdegegnerin ist die Unterscheidung zwischen Kur und Reha essentiell, um zu wissen, ob § 59 K-LVBG 1994 anwendbar ist (oder nicht anwendbar ist). Es ist der Beschwerdegegnerin daher grundsätzlich zuzustimmen, dass es aufgrund der unterschiedlichen Regelungen zu Kur und Rehabilitation in § 59 K-LVBG 1994 für sie erforderlich war zu wissen, um welche Art von Gesundheitsdienstleistung es sich handelt. Die richtige Einordnung der Gesundheitsdienstleitung ist für die Beschwerdegegnerin aus dienstrechtlicher Sicht essentiell.Für die Beschwerdegegnerin ist die Unterscheidung zwischen Kur und Reha essentiell, um zu wissen, ob Paragraph 59, K-LVBG 1994 anwendbar ist (oder nicht anwendbar ist). Es ist der Beschwerdegegnerin daher grundsätzlich zuzustimmen, dass es aufgrund der unterschiedlichen Regelungen zu Kur und Rehabilitation in Paragraph 59, K-LVBG 1994 für sie erforderlich war zu wissen, um welche Art von Gesundheitsdienstleistung es sich handelt. Die richtige Einordnung der Gesundheitsdienstleitung ist für die Beschwerdegegnerin aus dienstrechtlicher Sicht essentiell.
Ob bei der im K-LVBG 1994 nicht ausdrücklich erwähnten „Med***-Vorsorge & Prävention“ (wie bei einer klassischen Kur) zwingende dienstliche Gründe einer Dienstbefreiung entgegenstehen können ist keine Frage, welche in einem datenschutzrechtlichen Verfahren zu klären ist. Die Datenschutzbehörde kann beschwerdegegenständlich nur prüfen, ob die Verarbeitung der Gesundheitsdaten der Beschwerdeführerin durch die Beschwerdegegnerin rechtmäßig war oder nicht.
Grundsätzlich geht bereits aus dem von der Beschwerdeführerin an die Beschwerdegegnerin übermittelten Schreiben des T***-Hotel vom 14. März 2025 hervor, um welche Art von Gesundheitsdienstleistung es sich handelt. In diesem ist ausdrücklich angeführt, dass ein Heilverfahren für die „Med***-Vorsorge & Prävention“ von der Versicherungsanstalt bewilligt wurde.
Die durch die Pensionsversicherungsträger gewährbare Gesundheitsvorsorge ist in § 307d ASVG geregelt und kommt als Maßnahme der Aufenthalt in Kurorten bzw. Kuranstalten (Abs. 2 Z 1) in Frage. Die Maßnahmen der Rehabilitation sind dem gegenüber in den §§ 302 bis 304 ASVG geregelt.Die durch die Pensionsversicherungsträger gewährbare Gesundheitsvorsorge ist in Paragraph 307 d, ASVG geregelt und kommt als Maßnahme der Aufenthalt in Kurorten bzw. Kuranstalten (Absatz 2, Ziffer eins,) in Frage. Die Maßnahmen der Rehabilitation sind dem gegenüber in den Paragraphen 302, bis 304 ASVG geregelt.
Da es sich bei der Gesundheitsvorsorge um eine erst seit Juli 2024 bestehende Gesundheitsmaßnahme handelt, ist es grundsätzlich nachvollziehbar, dass die Bedienstete der Dienstführung (Abteilung Personalmanagement) der Beschwerdegegnerin bei der PVA nachfragen mussten, welche Gesundheitsmaßnahme konkret vorliegt. Die Einordung der „Med***-Vorsorge & Prävention“ als Kurmaßnahme iSd. § 59 K-LVBG 1994 wurde darüber hinaus von der Beschwerdeführerin selbst in Frage gestellt, da es sich bei dem geplanten Aufenthalt nach Aussage der Beschwerdeführerin um einen medizinisch notwendigen Aufenthalt mit dringlicher medizinischer Indikation handle.Da es sich bei der Gesundheitsvorsorge um eine erst seit Juli 2024 bestehende Gesundheitsmaßnahme handelt, ist es grundsätzlich nachvollziehbar, dass die Bedienstete der Dienstführung (Abteilung Personalmanagement) der Beschwerdegegnerin bei der PVA nachfragen mussten, welche Gesundheitsmaßnahme konkret vorliegt. Die Einordung der „Med***-Vorsorge & Prävention“ als Kurmaßnahme iSd. Paragraph 59, K-LVBG 1994 wurde darüber hinaus von der Beschwerdeführerin selbst in Frage gestellt, da es sich bei dem geplanten Aufenthalt nach Aussage der Beschwerdeführerin um einen medizinisch notwendigen Aufenthalt mit dringlicher medizinischer Indikation handle.
Auch wenn man annimmt, dass eine telefonische Nachfrage bei der Pensionsversicherungsanstalt zur Klärung um welche Art von Gesundheitsdienstleistung es sich handelt, nicht zwingend notwendig war, (und etwa eine Internetrecherche ausgereicht hätte), wurde durch das Telefonat mit der Pensionsversicherungsanstalt, um welche Art von Gesundheitsdienstleistung es sich handelt nichts offengelegt, was nicht bereits aus dem Schreiben vom T***-Hotel ersichtlich gewesen wäre. Im Schreiben war darüber hinaus sogar die medizinische Indikation für die Gesundheitsvorsorge „Erkrankungen des L***“ ersichtlich. Auch die Kenntnis über den genauen Bewilligungszeitraum ist - wie bereits erwähnt - für die Beschwerdegegnerin notwendig, um eine Verschiebung aus zwingenden dienstlichen Gründen prüfen zu können, weshalb auch hier kein schutzwürdiges Geheimhaltungsinteresse erkennbar ist.
Es ist für die Datenschutzbehörde daher im Ergebnis kein schutzwürdiges Interesse iSd. § 1 DSG erkennbar. Der Beschwerdegegnerin waren die verfahrensgegenständlichen Gesundheitsdaten bereits aus dem Schreiben des T***-Hotel vom 14. März 2025 bekannt und stellt auch der Bewilligungszeitraum ein Datum dar, dass für die Prüfung von § 59 K-LVBG 1994 erforderlich ist.Es ist für die Datenschutzbehörde daher im Ergebnis kein schutzwürdiges Interesse iSd. Paragraph eins, DSG erkennbar. Der Beschwerdegegnerin waren die verfahrensgegenständlichen Gesundheitsdaten bereits aus dem Schreiben des T***-Hotel vom 14. März 2025 bekannt und stellt auch der Bewilligungszeitraum ein Datum dar, dass für die Prüfung von Paragraph 59, K-LVBG 1994 erforderlich ist.
Es war daher spruchgemäß zu entscheiden.
Schlagworte
Geheimhaltung, Rechtmäßigkeit der Verarbeitung, besonders geschützte Daten, Gesundheitsdaten, Verantwortliche des öffentlichen Bereichs, qualifizierte gesetzliche Grundlage als Erlaubnistatbestand, Kur, Reha, Gesundheitsvorsorge, DGKP, Vertragsbedienstete, aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsende RechteEuropean Case Law Identifier (ECLI)
ECLI:AT:DSB:2026:2025.0.691.518Zuletzt aktualisiert am
08.07.2026
