Norm
DSG 2000 §1 Abs3 Z2Text
GZ: DSB-D122.278/0007-DSB/2015 vom 22.4.2015
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Mag. iur. Dr. med. univ. Anton C*** (Beschwerdeführer), vertreten durch XY*** Rechtsanwälte OG, vom 12. Dezember 2014 gegen die Austro Control Österreichische Gesellschaft für Zivilluftfahrt mit beschränkter Haftung (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung in Folge Weigerung der Beschwerdegegnerin, personenbezogene Daten über den Beschwerdeführer, die ihr mittels der Formulare der Europäischen Agentur für Flugsicherheit (EASA) AMC 1 ARA.MED.135(a) und AMC1 ARA.MED135(b); (c) übermittelt wurden, zu löschen wie folgt:
- Die Beschwerde wird abgewiesen.
Rechtsgrundlagen: §§ 1, 4, 5, 6, 7, 9, 27 und 31 des Datenschutzgesetzes 2000 – DSG 2000, BGBl. I Nr. 165/1999 idgF; §§ 34 und 57a des Luftfahrtgesetzes – LFG, BGBl. Nr. 253/1957; Anhänge IV und VI der Verordnung (EU) Nr. 1178/2011 der Europäischen Kommission idF Verordnung (EU) der Europäischen Kommission Nr. 290/2012 vom 30. März 2012 zur Änderung der Verordnung (EU) Nr. 1178/2011 zur Festlegung technischer Vorschriften und von Verwaltungsverfahren in Bezug auf das fliegende Personal in der Zivilluftfahrt gemäß der Verordnung (EG) Nr. 216/2008 des Europäischen Parlaments und des Rates – Verordnung, ABl. Nr. L 100 vom 5.4.2012, S. 1–56; Acceptable Means of Compliance (AMC) and Guidance Material to Part-ARA, kundgemacht als Anhang zur Entscheidung 2012/006/R der EASA.
BEGRÜNDUNG
A. Vorbringen der Parteien
1. Der Beschwerdeführer behauptet in seiner Beschwerde – soweit verfahrensrelevant – eine Verletzung im Recht auf Löschung dadurch, dass sich die Beschwerdegegnerin mit Schreiben vom 4. November 2014 geweigert habe, bestimmte, den Beschwerdeführer betreffende Gesundheitsdaten aufgrund einer Tauglichkeitsuntersuchung für Piloten zu löschen. Begründend habe die Beschwerdegegnerin ausgeführt, dass sie zur Dokumentation der in Rede stehenden personenbezogenen Daten über den Beschwerdeführer aus europarechtlichen Gründen verpflichtet wäre. Bereits die Übermittlung dieser Daten an die Beschwerdegegnerin erfolge unter Verletzung der Bestimmungen des DSG 2000, daher leide auch die weitere Verarbeitung der Daten an Rechtswidrigkeit.
Der Beschwerdeführer stelle daher folgenden Antrag:
„Die Datenschutzbehörde möge feststellen, dass die Weigerung der Beschwerdegegnerin, die folgenden personenbezogenen Daten über den Beschwerdeführer, die ihr mittels der Formulare EASA AMC 1 ARA.MED.135(a) und AMC1 ARA.MED135(b); (c) übermittelt wurden, zu löschen, das Recht des Beschwerdeführers auf Löschung seiner personenbezogenen Daten nach § 27 DSG 2000 verletzt:
a) Antrag für ein Tauglichkeitszeugnis (AMC1 ARA.MED.135(a))
(27) Alkohol Einheiten pro Woche im Durchschnitt
(104) Allergie oder Heuschnupfen
(108) Nierensteine oder Blut im Urin
(111) Taubheit oder Ohrenerkrankung
(125) Geschlechtskrankheiten
(127) Sonstige Erkrankungen oder Verletzungen
(129) Verweigerung einer Lebensversicherung
(133) Versicherungsleistung wegen Verletzung oder Krankheit
(170) bis (179) zur Familienvorgeschichte
b) Medizinischer Untersuchungsbericht (AMC1 ARA.MED.135(b);(c))
(204) Augenfarbe
(205) Hautfarbe
(220) Harn- und Geschlechtsorgane
(221) Innere Sekretion
(232) Brille (nur bezüglich der detaillierten Messwerte)
(234) Hörvermögen (nur bezüglich der detaillierten Audiometrie-Messwerte)
(237) Hämoglobin (nur bezüglich des konkreten Messwerts)“
2. Mit Schreiben der Datenschutzbehörde vom 17. Dezember 2014 wurde dem Beschwerdeführer mitgeteilt, dass die Tätigkeit der Beschwerdegegnerin als Aufsichtsbehörde in Bezug auf Gesundheitsdaten von Piloten Gegenstand des amtswegigen Prüfverfahrens zur GZ K213.154 gewesen wäre, welches am 1. Oktober 2014 eingestellt worden sei.
Der Beschwerdeführer erhalte daher die Möglichkeit, dazulegen, weshalb seine an die Beschwerdegegnerin übermittelten Gesundheitsdaten
a) für die Erfüllung konkreter (behördlicher) Aufgaben der Beschwerdegegnerin nicht notwendig oder
b) für die Erfüllung konkreter (behördlicher) Aufgaben der Beschwerdegegnerin überschießend seien.
Gleichzeitig wurde dem Beschwerdeführer mitgeteilt, dass die Datenschutzbehörde die Ergebnisse des Ermittlungsverfahrens zur GZ K213.154 dem Beweisverfahren zugrunde legen werde und es dem Beschwerdeführer offen stehe, Akteneinsicht zu nehmen.
3. Am 30. Dezember 2014 nahm der rechtsfreundliche Vertreter des Beschwerdeführers Einsicht in den Akt K213.154.
4. In der Äußerung vom 13. Jänner 2015 führt der Beschwerdeführer aus, dass Teil-MED der Verordnung mehrere Fälle vorsehe, wie die Beschwerdegegnerin als Aufsichtsbehörde in die Ausstellung flugmedizinischer Tauglichkeitszeugnisse involviert sein könne, nämlich den Standardfall (MED.A.025 (b)(4)), den Verweisungsfall (MED.A.050) und den Auditfall (MED.A.025.(d))
Im Standardfall obliege die Ausstellung flugmedizinischer Tauglichkeitszeugnisse in der Regel und abhängig von der Klasse einem flugmedizinischen Zentrum oder einem flugmedizinischen Sachverständigen. Es sei daher nicht Aufgabe der Beschwerdegegnerin, in jedem Fall nachzuprüfen, ob die flugmedizinische Tauglichkeit richtig beurteilt worden sei. Diese Überprüfung könne stichprobenartig durchgeführt werden. Da im Standardfall keine Zuständigkeit der Beschwerdegegnerin zur Ausstellung von flugmedizinischen Tauglichkeitszeugnissen vorliege, gebe es auch keine gesetzliche Zuständigkeit für die Übermittlung von detaillierten medizinischen Anamnese- und Beurteilungsdaten an die Beschwerdegegnerin, weshalb die Übermittlung unzulässig sei.
Im Verweisungsfall an die Beschwerdegegnerin und im Auditfall seien hingegen sämtliche Unterlagen zu übermitteln. Dies sei nachvollziehbar, weil in diesen beiden Fällen (und nur in diesen) die Kompetenz zur Ausstellung eines Tauglichkeitszeugnisses (auch) der Beschwerdegegnerin obliege.
In Bezug auf die im Antrag vom 12. Dezember 2014 genannten Datenarten sei folgendes auszuführen:
a) Antrag für ein Tauglichkeitszeugnis – AMC1 ARA.MED.135 (a):
(27) Alkoholeinheiten pro Woche im Durchschnitt: Was Alkoholeinheiten genau seien, sei nicht genau determiniert. Würde die Alkoholmenge körperliche oder psychische, die Tauglichkeit einschränkende Ausmaße einnehmen, wäre dies bei der Tauglichkeitsuntersuchung feststellbar. Bei der Menge des Alkohols sei primär der Zeitpunkt des Alkoholgenusses von Relevanz, nicht ein Durchschnittswert über einen längeren Zeitraum.
(104) Allergie oder Heuschnupfen: Heuschnupfen wirke sich am Boden aus, in der Luft mangels Pollen nicht.
(108) Nierensteine oder Blut im Urin: Der Harn werde bei jeder fliegerärztlichen Untersuchung überprüft. Ob sich Blut im Harn befinde, werde dabei festgestellt und gegebenenfalls weiter abgeklärt.
(111) Taubheit oder Ohrenerkrankung: Eine Taubheit werde im Rahmen des Gesprächs mit dem Probanden, zumindest aber bei der ohnehin routinemäßigen Überprüfung des Hörvermögens festgestellt.
(125) Geschlechtskrankheiten: Geschlechtskrankheiten seien, sofern dem Probanden überhaupt bekannt, grundsätzlich folgenlos therapierbar und insofern nicht von Relevanz.
(127) Sonstige Erkrankungen oder Verletzungen: Die Frage nach sonstigen Erkrankungen oder sonstigen Verletzungen sei so umfassend, dass sie praktisch von niemandem mit „Nein“ beantwortet werden könne.
(129) Verweigerung einer Lebensversicherung: Der Maßstab für den Abschluss einer Lebensversicherung sei ein anderer als der für die flugmedizinische Tauglichkeit. Das Urteil eines Versicherungsunternehmens könne für eine flugmedizinische Tauglichkeitsbeurteilung nicht von Relevanz sein.
(133) Versicherungsleistung wegen Verletzung oder Krankheit: Eine Versicherungsleistung wegen Verletzung oder Krankheit sei nicht relevant für die Beurteilung der Tauglichkeit. Die Verletzung oder Krankheit selbst sei bei Relevanz entweder schon abgehandelt worden oder bei der Untersuchung erkenn- oder beurteilbar.
(107) bis (179) zur Familiengeschichte: Die Familienanamnese sei für die flugmedizinische Beurteilung nicht relevant, weil diese für die aktuelle Beurteilung des Probanden keine Rolle spiele.
b) Medizinischer Untersuchungsbericht – AMC1 ARA.MED.135 (b), (c):
(204) Augenfarbe: Die Augenfarbe sei für die medizinische Beurteilung der Flugtauglichkeit nicht relevant.
(205) Haarfarbe: Die Haarfarbe sei für die medizinische Beurteilung der Flugtauglichkeit nicht relevant.
(220) Harn- und Geschlechtsorgane: Eine routinemäßige Untersuchung der Geschlechtsorgane würde beim Mann eine rektal digitale und bei der Frau eine vaginale Untersuchung beinhalten. Dies würde im Rahmen einer Flugtauglichkeitsbeurteilung den Rahmen des Notwendigen sprengen.
(221) Innere Sekretion: Die innere Sekretion sei bei einer klinischen Untersuchung nicht beurteilbar.
(232) Brille (nur bezüglich der detaillierten Messwerte): In den einschlägigen EU-Verordnungen gebe es weder für Klasse 2 noch für die Klasse 1 Dioptrienlimits. Mit „Sehvermögen ausreichend/nicht ausreichend“ könne daher das Auslangen gefunden werden.
(234) Hörvermögen (nur bezüglich der detaillierten Audiometrie-Messwerte): Mit „Hörvermögen ausreichend/nicht ausreichend“ könne das Auslangen gefunden werden.
(237) Hämoglobin (nur bezüglich des konkreten Messwerts): Der genaue Hämoglobinwert sei nicht notwendig. „Normal/nicht normal“ sei ausreichend.
Die Übermittlung all dieser Daten widerspreche dem Wesentlichkeitsgrundsatz nach § 6 Abs. 1 Z 3 DSG 2000 und dem Verhältnismäßigkeitsgrundsatz nach § 7 Abs. 3 DSG 2000. Da es sich bei den Acceptable Means of Compliance (AMC) der EASA um nicht verbindliche Anordnungen handle, bildeten diese keine taugliche Rechtsgrundlage für die Übermittlung dieser Daten an die Beschwerdegegnerin.
Vielmehr liege es an der Beschwerdegegnerin, nach ARA.MED.135 Formblätter zu erstellen und zu verwenden, die den gesetzlichen Vorschriften des § 6 Abs. 1 Z 3 DSG 2000 und dem Verhältnismäßigkeitsgrundsatz nach § 7 Abs. 3 DSG 2000 genügten. Dahingehend habe sich auch der Datenschutzrat in seiner 216. Sitzung am 23. April 2013 geäußert. Die Anordnung der Verwendung der Formblätter der EASA entsprechend AMC1 ARA.MED.135 in ZPH MED 1 durch die Beschwerdegegnerin widerspreche daher datenschutzrechtlichen Vorschriften. Auch stünden die Formblätter in Widerspruch zu Art. 8 und 52 der Charta der Grundrechte der EU.
5. Die Beschwerdegegnerin repliziert in ihrer Stellungnahme vom 24. Februar 2015 – soweit verfahrensrelevant – dahingehend, dass der Beschwerdeführer zwar behaupte, dass die im Antragsformular und im medizinischen Untersuchungsbericht der EASA (AMC1 ARA.MED.135) angeführten personenbezogenen Daten zur Erfüllung der behördlichen Aufsichtspflichten der Beschwerdegegnerin weder erforderlich noch verhältnismäßig seien. Er unterlasse es jedoch, die unionsrechtlichen Aufsichtsbestimmungen inhaltlich wider zu geben bzw. darzustellen, was denn seiner Ansicht nach tatsächlich der konkrete Zweck der Bestimmung MED.A.025 (b) (4) sei. Der Beschwerdeführer habe nicht alle relevanten gesetzlichen Bestimmungen widergegeben bzw. herangezogen.
Der Beschwerdeführer habe nicht erwähnt, dass die Beschwerdegegnerin zuständige Aufsichtsbehörde über alle Inhaber einer Lizenz, einer Berechtigung, eines Zeugnisses oder einer Bescheinigung sei. Sie habe im Rahmen der Aufsicht unter anderem zu prüfen, ob der Antragsteller oder der Inhaber des Zeugnisses etc. die einschlägigen Anforderungen laufend erfülle (z.B. ARA.GEN.300, 315, 355; MED.A.020; ARA.MED.245, 250, 255, 315). Somit sei die Beschwerdegegnerin zuständige Aufsichtsbehörde sowohl gegenüber flugmedizinischen Sachverständigen als auch gegenüber den Piloten.
Der Zweck der Übermittlung detaillierter Gesundheitsdaten in Form eines medizinischen Berichts und des Antragsformulars sei somit unter anderem in der Aufsicht über Piloten und flugmedizinische Sachverständige zu sehen und diene daher direkt der Gewährleistung der Sicherheit der Luftfahrt. Nur die Aufbewahrung der gesamten flugmedizinischen Dokumentation bei einer Behörde ermögliche erst die Überprüfung im Hinblick auf kontinuierlich gleiche anamnestische Angaben durch den Probanden und erleichtere auch die Überprüfung der Tauglichkeitsbeurteilung durch den flugmedizinischen Sachverständigen.
Dies sei auch in einem internationalen Bezug zu sehen, da der Proband tatsächlich nach jeder flugmedizinischen Tauglichkeitsuntersuchung den flugmedizinischen Sachverständigen wechseln und einen solchen auch in einem Mitgliedstaat der EU oder einem EASA-assoziierten Staat aufsuchen könne. Die Aufbewahrung der gesammelten kontinuierlichen flugmedizinischen Dokumentation bei einer Behörde gewährleiste, dass nicht bei mehreren unterschiedlichen europäischen Luftfahrtbehörden detaillierte medizinische Daten einer Person aufliegen würden. Im Falle einer Lizenzübertragung sei der flugmedizinische Akt an die neue Lizenzbehörde zu übertragen.
Diese konzentrierte Aufbewahrung bei einer Behörde diene auch dem flugmedizinischen Sachverständigen im Rahmen des Sicherheitssystems, um in unklaren Fällen bei der zuständigen Behörde Informationen über die bisherige Krankengeschichte zu erfahren (z.B. ARA.MED.150, ARA.MED.315). Auch dies sei ein Zweck der Datenübermittlung und solle dem flugmedizinischen Sachverständigen, der von einem Probanden erstmals aufgesucht werde, helfen, eine flugmedizinisch-rechtlich korrekte Entscheidung anhand der bisherigen Tauglichkeitsbeurteilungen zu treffen. Umgekehrt diene dies auch dem Probanden, der auf die bisherige Dokumentation bei der Behörde und deren bisherige Entscheidungen verweisen könne.
Die Beschwerdegegnerin habe die rechtliche Befugnis zum Erhalt einer detaillierten Dokumentation, was sich aus MED.A.025 (c), MED.A.040 (d) (1) und MED.A.025 (d) ergebe. MED.A.050 verpflichte den flugmedizinischen Sachverständigen, die betreffenden Unterlagen an die Genehmigungsbehörde zu übermitteln, wobei sich der Umfang der Unterlagen an MED.A.025 (c) und MED.A.040 (d) (1) zu orientieren habe. Der flugmedizinische Sachverständige der Beschwerdegegnerin benötige für seine Entscheidung selbstredend alle Unterlagen, die auch der flugmedizinische Sachverständige für eine Entscheidungsfindung heranzuziehen hätte. Die im AMC1 ARA.MED.135 abgebildeten Formulare würden den Großteil der zu berücksichtigenden Parameter abbilden, die im Rahmen einer Tauglichkeitsbeurteilung zu erheben, zu bewerten und zu beurteilen seien. Erst deren Überprüfung gemäß ARA.MED.315 ermögliche eine Beurteilung, ob weitere Unterlagen im Rahmen der Aufsicht gemäß MED.A.025 (d) angefordert werden müssten. Der Beschwerdeführer umschreibe in keiner Weise, wie die Beschwerdegegnerin ohne entsprechende zu überprüfende Daten die Notwendigkeit der Einholung weiterer Unterlagen zu Aufsichtszwecken im Einzelfall beurteilen solle. Eine Einschränkung der Übermittlung der Unterlagen auf Audit-Fälle stehe im Widerspruch zu einer gesamtheitlichen Betrachtung der Verordnung.
ARA.MED.135 – und darauf basierend AMC1 ARA.MED.135 – verpflichteten die Beschwerdegegnerin entsprechende Formblätter zu verwenden.
ARA.GEN.300 ff legten eine Aufsichtsverpflichtung der Beschwerdegegnerin zur Überprüfung fest, ob flugmedizinische Sachverständige und Piloten als Inhaber einer Bescheinigung, eines Zeugnisses bzw. einer Lizenz die einschlägigen Anforderungen laufend erfüllten.
Die vom Beschwerdeführer vorgebrachten Argumente würden sich auf eine reine Wortinterpretation von MED.A.025 (b) (4) und MED.A.025 (d) reduzieren. Die unionsrechtlichen Bestimmungen würden auch keine Einschränkung auf eine elektronische Speicherung der vorgelegten medizinischen Untersuchungen und Beurteilungen erkennen lassen.
Die eingereichten medizinischen Untersuchungsberichte seien von der Beschwerdegegnerin im Rahmen eines festgelegten Verfahrens hinsichtlich einer abschließenden Genehmigung oder Untersagung (etwa im Sinne der Bestimmung ARA.MED.255) zu überprüfen.
Hauptzweck der unions- und völkerrechtlichen Regelungen über die Zivilluftfahrt sei die nochmalige Überprüfung der eingereichten medizinischen Berichte durch eine weitere medizinische Stelle und somit die Reduzierung des Risikos eines Vorfalls in der Luftfahrt mit medizinischem Hintergrund. Diesem Zweck diene auch die Archivierung der medizinischen Berichte und sonstigen Unterlagen, um Inkonsistenzen und Auffälligkeiten schnell erkennen zu können.
Hinsichtlich der vom Beschwerdeführer genannten Alternative Means of Compliance (AltMOC) sei festzuhalten, dass es hiefür eine Arbeitsgruppe gegeben habe, welche von Piloten und Ärzten (darunter auch der Beschwerdeführer) eingebrachte Vorschläge für ein alternatives Nachweisverfahren geprüft habe. Dabei sei auch ein vom Beschwerdeführer entwickeltes Formular geprüft worden. Die Arbeitsgruppe sei nach umfassender Prüfung zum Ergebnis gelangt, dass die Etablierung eines AltMOC zu MED.A.025 (a) rechtlich nicht möglich sei und eine Übermittlung direkt personenbezogener detaillierter Untersuchungsergebnisse zur Zweckerfüllung unabdingbar sei.
Zu erwähnen sei, dass die vom Beschwerdeführer an den Verfassungsgerichtshof gerichtete Beschwerde mit Beschluss vom 2. Oktober 2013, GZ V 42/2013, zurückgewiesen wurde. Der Verfassungsgerichtshof habe darin explizit bestätigt, dass die AMC ohne einen dazwischen tretenden nationalen Rechtsakt gälten und anzuwenden seien und somit eine Verpflichtung zur Übermittlung detaillierter Untersuchungsergebnisse jedenfalls bestehe.
Der Beschwerdeführer sei Pilot und flugmedizinischer Sachverständiger. Er habe die vorliegende Beschwerde in seiner Eigenschaft als Pilot eingebracht. Trotz seiner medizinischen Kenntnisse vertrete er aber die Ansicht, dass die übermittelten Daten für die Beurteilung der flugmedizinischen Tauglichkeit bzw. die Aufsicht nicht notwendig seien.
Die verwendeten Formulare seien von internationalen Experten unter Berücksichtigung der internationalen Zivilluftfahrtorganisation (ICAO) im Bereich Flugmedizin erarbeitet worden und stünden seit Jahren (nahezu ident unter JAR-FCL 3) in Österreich und in allen anderen EU-Mitgliedstaaten und EASA-assoziierten Staaten in Verwendung.
Die Übermittlung der Gesundheitsdaten sei erforderlich, damit die Beschwerdegegnerin im Rahmen ihrer Aufsicht über flugmedizinische Sachverständige laufend überprüfen könne, ob diese ihre Kernaufgabe korrekt erfüllten. Dafür sei ein umfassender Kenntnisstand erforderlich, um die Schlüssigkeit eines Gutachtens beurteilen zu können.
Zu den vom Beschwerdeführer aufgeworfenen Formularpunkten sei folgendes festzuhalten:
Punkt 27 – Alkoholeinheiten: 11 Gramm Alkohol bildeten definitionsgemäß eine sog. Alkoholeinheit. Diese Menge entspreche beispielsweise einer kleinen Flasche Bier (0,33 l) mit etwa 4,8 – 4,9 Volumprozent Alkoholgehalt. Falls der flugmedizinische Sachverständige, welcher den Probanden bei der wahrheitsgetreuen Ausfüllung des Antragsformulars im Falle etwaiger Unklarheiten unterstützen solle, dies selbst nicht wisse, könne alternativ selbstverständlich auch eine alternative Mengenangabe von z.B. „3 Achtel-Gläser Wein pro Woche“, „jeden Abend ein kleines Bier“ etc. gemacht werden. Es gehe darum, beim Probanden mittels des Formulars eine Alkoholanamnese zu erheben und diese flugmedizinisch zu berücksichtigen.
Dabei sei insbesondere auf eine Differenzierung im Falle des Verdachts eines Vorliegens von übermäßigem Alkoholkonsum hinsichtlich der akuten Intoxikation (welche vom Arzt meistens leicht erkennbar sei und im Rahmen von Tauglichkeitsuntersuchungen wohl eher selten vorkomme, jedoch bei Vorliegen immer näher abzuklären sei), des schädlichen Gebrauchs, des Abhängigkeitssyndroms und des Entzugssyndroms zu achten.
Vor allem der Anfangsverdacht der Diagnose des schädlichen Gebrauchs von Alkohol könne oftmals nur durch eine entsprechende Anamnese erfolgen. Die Probanden seien verpflichtet, wahrheitsgetreue Aussagen zu machen und nichts zu verheimlichen. Oftmals sei vielen Patienten der bereits schädliche Ausmaße annehmende Konsum von Alkohol gar nicht bewusst, sodass bei der Beantwortung dieses Punktes im Antragsformular häufig Alkoholmengen angegeben würden, welche für die Probanden subjektiv normal und unbedenklich erscheinen würden, jedoch für den Arzt und flugmedizinischen Sachverständigen zumindest Anlass seien, mittels gezielter Fragen den Anfangsverdacht einer Alkoholproblematik zu erhärten bzw. zu entkräften und gegebenenfalls auch weitere Diagnostik (bspw. Labor, Facharzt) in diese Richtung zu veranlassen. Die korrekte und vollständige Erhebung der Alkoholanamnese bilde einen wesentlichen Bestandteil bei sämtlichen verkehrsmedizinischen Fragestellungen und somit auch in der Luftfahrt.
Punkt 104 – Heuschnupfen: Heuschnupfen entspreche einer allergischen Reaktion vom Soforttyp, d.h. die allergische Reaktion erfolge innerhalb weniger Minuten und könne bis zur Luftnot und dem (lebensgefährlichen) allergischen Schock reichen. Das schnelle Auftreten der Symptome bedeute jedoch umgekehrt nicht, dass es durch Vermeidung der Allergenexposition (wie bspw. Fliegen im nicht bodennahen Bereich) zu einem sofortigen Sistieren etwaig vorhandener allergischer Symptome komme, da diesen Symptomen komplexe kaskadenartige immunologisch-biochemische Vorgänge zugrunde lägen, welche ohne medikamentöse Hilfe nicht im Augenblick (mit Flugantritt) beendet würden, sondern vielmehr über Stunden oder Tag langsam abklingen würden. Allergien im Bereich der oberen Atemwege könnten bei Piloten dazu führen, dass ein Druckausgleich nicht mehr möglich sein könne, was mit Schmerzen und damit verbundener plötzlicher Unfähigkeit, das Luftfahrzeug korrekt zu führen, verbunden sein könne und darüber hinaus zu einer temporären Hörverminderung führen könne, wodurch Probleme in der Funkkommunikation entstehen könnten. Die Frage nach Allergien sei auch im Kontext etwaig eingenommener antiallergisch wirkender Medikation zu sehen, da einige dieser Medikamente ausgeprägte Müdigkeit als Nebenwirkung auslösen würden und daher mit der flugmedizinischen Tauglichkeit nicht kompatibel seien.
Somit könne die Frage nach dem Vorliegen eines Heuschnupfens keinesfalls als entbehrlich und unnötig angesehen werden.
Punkt 108 – Harn: Sämtliche Fragen im Antragsformular würden sich nicht nur auf die Gegenwart, sondern selbstverständlich auch auf die Vergangenheit beziehen. Somit könne die mit „ja“ beantwortete Frage 108 auf dem Antragsformular „Harnsteine oder Blut im Urin?“ natürlich auch Auskunft über das ebenso relevante Faktum von Blut im Urin vor zum Beispiel drei Monaten geben, obwohl der im Rahmen des flugmedizinischen Assessments durchgeführte Harnstreifentest gegenwärtig kein Blut nachweise. In diesem Falle wäre eine nähere Anamneseerhebung jedenfalls sinnvoll, um das Vorhandensein von Harnsteinen, welche einen plötzlichen Ausfall des Piloten im Rahmen einer Nierenkolik bedingen könnten und welche eben dieses Symptom des blutigen Harns u.a. hervorrufen könnten, weitestgehend ausschließen. Bei Erhärtung des Verdachts wäre ein Ausschluss des Vorliegens von Nierensteinen durch den Facharzt für Urologie indiziert.
Die Frage nach Blut im Urin sei somit absolut gerechtfertigt und könne nicht durch die bei jeder Untersuchung durchzuführende Harnstreifenuntersuchung ersetzt werden, da diese nur den gegenwärtigen Zustand beschreibe.
Punkt 111 – Taubheit: Diese Frage beziehe sich ebenfalls auf die Vergangenheit und die Gegenwart. Somit sei ein gut hörender Proband während der Durchführung des flugmedizinischen Assessments kein Garant dafür, dass dies in der Vergangenheit immer so gewesen sei und somit eventuell auch ein erhöhtes Risiko für (plötzlich auftretende) Taubheit in der Zukunft sein könne. Klassische Erkrankungen, welche temporär auch zu völliger Taubheit führen könnten und durch Spontanheilung oder Therapie wieder (weitgehend) rückgebildet würden, seien der mechanisch verlegte äußere Gehörgang (z.B. durch Cerumen – Ohrenschmalz), der (akute) Tubenkatarrh, welcher mit absolutem Flugverbot einhergehe, Verletzungen wie Schädelbasisbruch, Tumore (wie Akustikusneurinom), Infektionen (wie Zopster oticus), das akute Knalltrauma (wie Gewehrschuss, Explosion etc.) oder Durchblutungsstörungen unterschiedlicher Genese (Thrombosen, Atherosklerose etc.). Da sich in unmittelbarer anatomischer Nähe des Hörapparates noch ein weiteres für das Führen von Luftfahrzeugen enorm wichtiges Organ, nämlich der Gleichgewichtssinn im Innenohr, befinde, könne diese Frage nach Taubheit für den Arzt noch weitere wertvolle Informationen hinsichtlich des Vorliegens einer Störung des Gleichgewichtssinnes liefern, was ebenfalls ausnahmslos flugmedizinisch untauglich machen würde. In diesem Zusammenhang sei beispielsweise an einen Morbus Meniere zu denken, welcher neben ausgeprägtem Drehschwindel im Anfall auch zu einem akuten Hörverlust führen könne. Abschließend werde noch angemerkt, dass bei einem paarig angelegten Organ wie dem Ohr ein einseitiger Funktionsausfall oder –verminderung durch das andere (gesunde) Ohr kompensiert werden könne und somit im Rahmen eines Gespräches nicht zwingend auffallen müsste. Ein Hörtest (Audiometrie), bei welcher jedes Ohr einzeln getestet werde, sei nämlich nicht bei jeder flugmedizinischen Untersuchung zwingend vorgeschrieben und gehöre somit nicht zu den Routineuntersuchungen.
Punkt 125 – Geschlechtskrankheiten: Die Feststellung, wonach Geschlechtskrankheiten grundsätzlich folgenlos therapierbar seien, sei wissenschaftlich nicht haltbar. Bei einer Reihe von Geschlechtskrankheiten (Syphilis, Gonorrhoe/Tripper), Ulcus molle etc.) sei in der Literatur von Therapieversagern berichtet worden. Auch hänge die folgenlose Abheilung immer vom Zeitpunkt der Diagnosestellung und der Einleitung einer wirksamen Therapie ab. Sollte der Beschwerdeführer nicht nur die oben erwähnten sogenannten „klassischen“ Geschlechtskrankheiten, sondern auch die sexuell übertragbaren Krankheiten wie AIDS, Hepatitis B und C, Herpes genitalis, Gebärmutterhalskrebs etc. gemeint haben, so dürfte auch dem medizinischen Laien bekannt sein, dass diese Erkrankungen in der Regel nicht folgenlos ausheilen, sondern vielmehr chronifizieren und teilweise lange Leidenswege und Therapien bei den betroffenen Patienten verursachen und sogar zum Tode führen könnten.
Punkt 127 – sonstige Erkrankungen, Verletzungen: Wenn die Frage – wie der Beschwerdeführer meint – von niemandem mit „nein“ beantwortet werden könne, seien die gegebenen Antworten vom flugmedizinischen Sachverständigen auf Relevanz für das flugmedizinische Assessment zu überprüfen und gegebenenfalls auf dem Antragsformular zu erwähnen und in der Gesamtbeurteilung zu berücksichtigen oder wegen Geringfügigkeit oder Irrelevanz nicht am Antragsformular zu vermerken. Wichtig sei, dass der Proband abschließend nochmals aufgefordert werde, darüber nachzudenken, ob nichts vergessen worden sei, nur weil in den vorangegangenen Fragen nicht dezidiert danach gefragt worden sei.
Punkt 129 – Lebensversicherung: Obwohl im Vergleich zu den einschlägigen Bestimmungen, wie sie für flugmedizinische Assessments anzuwenden seien, naturgemäß Lebensversicherungen andere Ausschlussgründe hätten, könne diese Information wichtig sein, da dann beim Probanden automatisch vom flugmedizinischen Sachverständigen nachgefragt werden würde, welche Erkrankungen dieser Ablehnung zugrunde gelegen seien. Sollte es sich bspw. um eine seltene Erkrankung handeln, wäre nach dieser im Antragsformular nicht konkret gefragt worden und diese eventuell vom Probanden nicht angegeben worden.
Die Beantwortung dieser Frage mache daher sehr wohl Sinn und sei im Sinne einer Redundanz, um ein möglichst vollständiges Bild vom Probanden im Rahmen der Anamneseerhebung zu bekommen, hilfreich. Dadurch könnten wichtige Fakten hinsichtlich eventuell längst in Vergessenheit geratener Symptome und Erkrankungen wieder in Erinnerung gerufen werden. Aufgrund der Erfahrung der täglichen behördlichen Arbeit könne bestätigt werden, dass mitunter vollkommen unauffällige Anamnesen durch diese Fragen relativiert würden und weitere anamnestische Fragen notwendig machten. Dieser Parameter gewährleiste somit wirkungsvoll die Vollständigkeit der Anamneseerhebung. Es werde festgehalten, dass lediglich die Tatsache des Bestehens einer Lebensversicherung bzw. der Verweigerung einer solchen, nicht jedoch Detaildaten wie Polizzennummer, Name der Versicherungsgesellschaft etc. abgefragt würden.
Punkt 133 – Versicherungsleistung wegen Verletzung oder Krankheit: Auch diese Frage mache – siehe auch unter Frage 129 – im Sinne einer Redundanz Sinn, um ein möglichst vollständiges Bild vom Probanden zu erhalten.
Punkt 170 ff – Familienanamnese: Für viele (häufig vorkommende und für flugmedizinische Tauglichkeitsbelange höchst relevante) Erkrankungen (z.B: Hypercholesterinämie, koronare Herzkrankheit, Diabetes etc.) sei schon lange der wissenschaftliche Beweis erbracht, dass es familiäre Häufungen im Sinne einer Prädisposition (erhöhtes Risiko) für bestimmte Krankheiten gebe bzw. manche Krankheiten vererbt würden. Die genaue Kenntnis der Familienanamnese und in der Familie vorkommender Krankheiten stellten für den flugmedizinischen Sachverständigen somit höchstrelevante Informationen dar, um beispielsweise abzuschätzen, wie hoch das Risiko für das Auftreten eines Herzinfarktes innerhalb der nächsten fünf Jahre sei. Diese Zeiträume entsprächen den regulären Gültigkeitsdauern von Tauglichkeitszeugnissen, wobei in diesem Intervall regulärerweise kein weiteres flugmedizinisches Assessment vorgesehen sei. Dies könne bei plötzlich und ohne Vorwarnung auftretenden Erkrankungen wie einem Herzinfarkt fatal enden, falls der Pilot zu diesem Zeitpunkt gerade ein Luftfahrzeug führe und gegebenenfalls Passagiere befördere. Umso wichtiger sei die genaue Erhebung und Abschätzung der Eintrittswahrscheinlichkeit eines medizinischen Ereignisses, welches zu plötzlicher Unfähigkeit, das Luftfahrzeug zu steuern, führen könne.
Zu Unterpunkt b) – Medizinischer Untersuchungsbericht
Punkte 204 und 205 – Augen- und Haarfarbe: Augen- und Haarfarbe seien einerseits relativ unveränderliche Merkmale, sodass diese auch bei der Identifikation des Probanden hilfreich sein könnten, und andererseits könnten Veränderungen der Augen- und Haarfarbe durchaus relevant für die flugmedizinische Beurteilung sein. So könne eine Veränderung der Augenfarbe auf das Tragen gefärbter Kontaktlinsen zurückzuführen sein, was mit einer flugmedizinischen Tauglichkeit ausnahmslos verboten wäre, da damit das Kontrastsehen empfindlich eingeschränkt würde. Die Augenfarbe könne aber auch im Rahmen von Pigmentierungsstörungen eine Veränderung erfahren, was wiederum eine augenfachärztliche Untersuchung nach sich ziehen würde.
Veränderungen der Haarfarbe innerhalb kurzer Zeit könnten – abgesehen von Haarfärbemitteln – auch Zeichen des physiologischen Alterungsprozesses oder Folge enormer Stressbelastung sein. Dies wiederum wäre ein wertvoller Hinweis für den Sachverständigen, da unter Stress viele Organsysteme Schaden nehmen könnten und diese dann mit besonderem Augenmerk untersucht werden würden. Gegebenenfalls wären eventuell sogar weitere (fachärztliche) Untersuchungen (z.B. des Herzens) nötig.
Weitere Ursache der Veränderung der Haare könnte eine Reihe von (Haut-)Erkrankungen sein bzw. würde sich diese auch als Nebenwirkung von ärztlich verordneten Therapien (z.B. Chemotherapie, Einnahme von Medikamenten) darstellen. All dies sei für die flugmedizinische Tauglichkeitsbeurteilung von Relevanz.
Punkt 220 – routinemäßige Untersuchung der Geschlechtsorgane: Hier sei lediglich die Inspektion der äußeren Geschlechtsorgane gemeint, da invasive oder weiterführende Untersuchungsverfahren in den flugmedizinischen Voraussetzungen generell nur bei Indikation zur Anwendung kämen. Veränderungen an den Geschlechtsorganen könnten Hinweise für Erkrankungen des endokrinen Systems (Hormonsystems) sein. Ein Weglassen dieses Parameters würde die Überprüfung der korrekten Tauglichkeitsbeurteilung deshalb unmöglich machen, da der flugmedizinische Sachverständige der Beschwerdegegnerin keinerlei Information über das Ergebnis der diesbezüglichen Untersuchung (normal/abnormal) erhielte.
Punkt 221 – Innere Sekretion: Diverse Symptome folgender endokrinologischer Erkrankungen könnten (ohne Anspruch auf Vollständigkeit) im Rahmen der klinischen Untersuchung jedenfalls erkannt werden:
Panhypopituitarismus (u.a. keine Körperbehaarung), Schilddrüsenerkrankungen (Unter-, Übergewicht, langsamer/schneller Puls etc.), Cushing Syndrom (Vollmondgesicht, Stammfettsucht, Stiernacken etc.), Adrenogenitales Syndrom (Vermännlichung bei Frauen), Akromegalie (Riesenwuchs), Kleinwuchs.
Die Beantwortung dieser Frage mache daher sehr wohl Sinn.
Punkt 232 – Dioptrienlimits: Es sei für jeden Nichtmediziner nachvollziehbar, dass die Dioptrienstärke gerade bei der Überprüfung der flugmedizinischen Tauglichkeit von Relevanz sei, da Änderungen der Dioptrienstärke Hinweis auf eine Reihe von Augenerkrankungen sein könnten. Dieser Tatsache würden auch die AMC Rechnung tragen, indem bei Überschreiten gewisser Diotrienwerte fünf- bzw. zweijährige Kontrollintervalle beim Facharzt zwingend vorgeschrieben würden. Punkt 232 sei daher sinnvoll und notwendig.
Punkt 234 – Hörvermögen: Mangels einer exakten Definition von „ausreichend“ und „nicht ausreichend“ und der Unmöglichkeit, ausreichendes und nicht ausreichendes Hörvermögen objektiv zu messen, sei ein Festhalten an der in der HNO-Heilkunde gut eingeführten Testung mittels Reintonaudiometrie, welche im Gegensatz zum Vorschlag des Beschwerdeführers darüber hinaus auch noch eine getrennte Testung des paarig angelegten Hörorgans ermögliche, sinnvoll.
Punkt 237 – genauer Hämoglobinwert: Um Tendenzen, z.B. langsam und stetig sinkender Hämoglobin-Wert aufgrund einer okkulten kleinen Blutung im Verdauungstrakt, zu erkennen, sei eine genaue Angabe des Messwertes hilfreich. Weiters gebe es in der medizinischen Wissenschaft keine exakte und allgemein gültige Definition eines „normalen“ oder „nicht normalen“ Hämoglobinwertes. Die Beantwortung der Frage mache daher sehr wohl Sinn.
Es werde abschließend nochmals betont, dass sämtliche der angeführten Punkte für eine flugmedizinische Tauglichkeitsbeurteilung relevant bzw. notwendig seien. Die übermittelten Daten dienten dem Zweck der Aufsicht über Piloten und flugmedizinische Sachverständige. Die Übermittlung dieser Daten sei weder unverhältnismäßig noch überschießend. Ein Weglassen dieser Parameter würde die Überprüfung der korrekten Tauglichkeitsbeurteilung unmöglich machen.
Zur der der Beschwerde als Beilage angeschlossenen Stellungnahme von Univ.-Ass. Dr. Florian P*** sei noch folgendes auszuführen:
Die dort zitierten Rechtsgrundlagen seien nicht mehr anwendbar. §§ 33-35 LFG und §§ 5-7 Zivilluftfahrt-Personalverordnung 2006 – ZLPV 2006 seien nur noch auf die Untersuchung, Beurteilung und Ausstellung so genannter „nationaler“ Tauglichkeitszeugnisse, d.h. Tauglichkeitszeugnisse, die für Lizenzen, die auf Grundlage nationalen Rechts ausgestellt würden, anwendbar. Im Zusammenhang mit europäischen Tauglichkeitszeugnissen und der Autorisierung und Aufsicht über flugmedizinische Sachverständige seien seit dem 8. April 2013 die Bestimmungen der Verordnung anzuwenden. Dies gelte auch für die Übermittlung von Untersuchungsergebnissen.
Der Behauptung der Unverbindlichkeit der AMC bzw. die Behauptung von möglichen AltMOC seien die Äußerungen des Verfassungsgerichtshofes, die Stellungnahme des Datenschutzrates, die Rechtsansicht der EASA und das Ergebnis der eingesetzten Arbeitsgruppe entgegenzuhalten.
Zusammenfassend sei festzuhalten, dass die vom Beschwerdeführer vorgebrachten Gründe nicht geeignet seien, eine Löschung der Untersuchungsergebnisse zu rechtfertigen. Der Bereich der Luftfahrt und dessen erhöhtes Gefährdungspotential für die allgemeine Bevölkerung erfordere auf allen Ebenen eine mehrfache Kontrolle, um die Sicherheit der Luftfahrt umfassend und europaweit gewährleisten zu können. Die Übermittlung der Formulare gemäß AMC1 ARA.MED.135 sei daher als zweckentsprechende Umsetzung der unionsrechtlichen Bestimmungen zu betrachten.
Der Stellungnahme angeschlossen sind – soweit verfahrensrelevant – ein Schreiben der Beschwerdegegnerin an den Datenschutzrat vom 5. Dezember 2014, in welchem mit näherer Begründung dargelegt wird, weshalb detaillierte Untersuchungsergebnisse erforderlich sind und AltMOC nicht entwickelt werden können; weiters das Schreiben des Datenschutzrates an die Beschwerdegegnerin vom 29. April 2013, in welchem u.a. die Beschwerdegegnerin aufgefordert wurde, von der Einrichtung eines alternativen Nachweisverfahrens (AltMOC) Gebrauch zu machen; weiters ein Schreiben der EASA an die Beschwerdegegnerin vom 28. Juni 2013, in welchem zur Frage der Übermittlung von Gesundheitsdaten aus flugmedizinischen Tauglichkeitsuntersuchungen Stellung genommen wird.
6. Die Stellungnahme der Beschwerdegegnerin samt Beilagen wurde dem Beschwerdeführer von der Datenschutzbehörde per E-Mail nachweislich am 2. März 2015 übermittelt und dem Beschwerdeführer die Möglichkeit eingeräumt, innerhalb einer Frist von zwei Wochen dazu Stellung zu nehmen.
Innerhalb der gesetzten Frist langte keine Stellungnahme ein.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdeführer durch die Weigerung der Löschung seiner Daten im begehrten Umfang in seinem Recht auf Löschung verletzt wurde.
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
Der Beschwerdeführer ist Arzt und Inhaber eines Berufspilotenscheins mit ATPL-theory-credit und eines Tauglichkeitszeugnisses der Klasse 1. Als flugmedizinischer Sachverständiger wird der Beschwerdeführer in der öffentlich einsehbaren Liste der Beschwerdegegnerin nicht geführt.
Der Beschwerdeführer füllte zu einem nicht näher bestimmbaren Zeitpunkt das standardisierte Formular „Antrag für ein Tauglichkeitszeugnis“ aus. Dieses Formular wurde gemeinsam mit dem „Medizinischen Untersuchungsbericht“ des – nicht namentlich genannten – untersuchenden flugmedizinischen Sachverständigen an die Beschwerdegegnerin zu einem nicht näher bestimmbaren Zeitpunkt übermittelt. Die übermittelten Dokumente entsprachen den Formularen AMC1 ARA.MED.135(a) und AMC1 ARA.MED.135(b), (c) der EASA. Auch das Tauglichkeitszeugnis des Beschwerdeführers wurde an die Beschwerdegegnerin übermittelt.
Die Beschwerdegegnerin sowie die Mehrheit der von ihr zertifizierten flugmedizinischen Sachverständigen verwenden zur Feststellung der flugmedizinischen Tauglichkeit von Piloten und Flugpersonal das EDV-System EMPIC (DVR-Nr. 0447277, DAN 023), das auch in anderen – jedoch nicht in allen – Mitgliedstaaten der EU verwendet wird. Die Gesundheitsdaten der Probanden – so auch des Beschwerdeführers – werden in diesem System gespeichert.
Mit Schreiben vom 18. September 2014 richtete der Beschwerdeführer, anwaltlich vertreten, ein Löschungsbegehren an die Beschwerdegegnerin und begehrte die Löschung folgender ihn betreffender personenbezogener Daten im System EMPIC:
a) Antrag für ein Tauglichkeitszeugnis (AMC1 ARA.MED.135(a))
(27) Alkohol Einheiten pro Woche im Durchschnitt
(104) Allergie oder Heuschnupfen
(108) Nierensteine oder Blut im Urin
(111) Taubheit oder Ohrenerkrankung
(125) Geschlechtskrankheiten
(127) Sonstige Erkrankungen oder Verletzungen
(129) Verweigerung einer Lebensversicherung
(133) Versicherungsleistung wegen Verletzung oder Krankheit
(170) bis (179) zur Familienvorgeschichte
b) Medizinischer Untersuchungsbericht (AMC1 ARA.MED.135(b);(c))
(204) Augenfarbe
(205) Hautfarbe
(220) Harn- und Geschlechtsorgane
(221) Innere Sekretion
(232) Brille (nur bezüglich der detaillierten Messwerte)
(234) Hörvermögen (nur bezüglich der detaillierten Audiometrie-Messwerte)
(237) Hämoglobin (nur bezüglich des konkreten Messwerts)
Mit Schreiben der Beschwerdegegnerin vom 4. November 2014 wurde das Löschungsbegehren abgelehnt.
Beweiswürdigung: Diese Feststellungen beruhen auf dem nicht bestrittenem Vorbringen der Verfahrensparteien, den beigelegten Unterlagen sowie dem Amtswissen der Datenschutzbehörde aus dem zur GZ K213.154 geführten amtswegigen Prüfverfahren, dessen Inhalt den Verfahrensparteien vollinhaltlich bekannt ist. Die Feststellung, wonach der Beschwerdeführer nicht als flugmedizinischer Sachverständiger geführt wird, ergibt sich aus einer Nachschau in der unter https://www.austrocontrol.at/piloten/flugmedizin/sachverstaendige durch die Beschwerdegegnerin veröffentlichten Liste der flugmedizinischen Sachverständigen (AMEs) (Nachschau am: 22.04.2015).
D. In rechtlicher Hinsicht folgt daraus:
1. Allgemeines
Daten über die Gesundheit eines Betroffenen sind sensible Daten im Sinne des § 4 Z 2 DSG 2000.
Gemäß § 6 Abs. 1 Z 3 DSG 2000 dürfen Daten nur soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen.
Nach § 7 Abs. 1 DSG 2000 dürfen Daten nur verarbeitet werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen nicht verletzt werden. Gemäß Abs. 2 dürfen Daten nur übermittelt werden, wenn sie aus einer zulässigen Datenanwendung stammen und der Empfänger zum Empfang befugt ist und dadurch schutzwürdige Geheimhaltungsinteressen des Betroffenen nicht verletzt werden. Abs. 3 normiert schließlich, dass ein Eingriff in das Grundrecht auf Datenschutzschutz nur im erforderlichen Ausmaß und mit den gelindesten zur Verfügung stehenden Mitteln erfolgt und dass die Grundsätze des § 6 eingehalten werden.
Gemäß § 9 Z 3 DSG 2000 sind bei der Verwendung sensibler Daten schutzwürdige Geheimhaltungsinteressen u.a. ausschließlich dann nicht verletzt, wenn sich die Ermächtigung oder Verpflichtung zur Verwendung aus gesetzlichen Vorschriften ergibt, soweit diese der Wahrung eines wichtigen öffentlichen Interesses dienen.
Der Beschwerdeführer bringt – zusammengefasst – vor, dass die Beschwerdegegnerin im Standardfall keine detaillierten Untersuchungsergebnisse einer flugmedizinischen Tauglichkeitsuntersuchung benötige, diese daher vom flugmedizinischen Sachverständigen nicht übermittelt werden müssten und daher zu löschen sind.
Da der Beschwerdeführer Pilot und Inhaber eines Tauglichkeitszeugnisses der Klasse 1 ist, ist vorliegend die beanstandete Datenübermittlung an die Beschwerdegegnerin sowie die Weigerung der Löschung nur unter diesem Aspekt zu prüfen.
2. Zur Zuständigkeit der Beschwerdegegnerin und der Datenschutzbehörde
Die Beschwerdegegnerin ist gemäß § 57a Abs. 3 LFG die zuständige nationale Behörde im Sinne der VO (EU) 1178/2011.
Der Beschwerdegegnerin obliegt gemäß § 34 Abs. 3 iVm § 57a LFG auch die Aufsicht über die flugmedizinischen Stellen, inklusive deren Anerkennung oder Zertifizierung.
Die Beschwerdegegnerin ist ein Auftraggeber des öffentlichen Bereiches gemäß § 5 Abs. 2 DSG 2000, weshalb die Datenschutzbehörde auch für Behandlung der Beschwerde gemäß § 31 Abs. 2 DSG 2000 zuständig ist.
3. Zur rechtlichen Befugnis der Beschwerdegegnerin, übermittelte Gesundheitsdaten zu verarbeiten
Piloten von Luftfahrzeugen müssen gemäß Art. 3 Abs. 1 der Verordnung die in Anhang I und IV der Verordnung festgelegten technischen Vorschriften und Verwaltungsverfahren erfüllen. Anhang IV (Teil-MED) regelt die medizinischen Tauglichkeitsuntersuchungen.
Gemäß MED.A.040 lit. c Abs. 1 des Anhangs IV obliegt die Verlängerung eines Tauglichkeitszeugnisses der Klasse 1 einem flugmedizinischen Zentrum oder einem flugmedizinischen Sachverständigen.
Nach MED.A.025 lit. b Abs. 4 des Anhangs IV müssen flugmedizinische Zentren oder flugmedizinische Sachverständige im Falle von Bewerbern um ein Tauglichkeitszeugnis unverzüglich einen unterzeichneten oder elektronisch authentifizierten Bericht bei der Genehmigungsbehörde einreichen, der das Ergebnis der Beurteilung und eine Kopie des Tauglichkeitszeugnisses einschließt.
Auf Anfrage der zuständigen Behörden haben flugmedizinische Zentren oder flugmedizinische Sachverständige gemäß MED.A.025 lit. d des Anhangs IV sämtliche flugmedizinischen Aufzeichnungen und Berichte sowie alle übrigen relevanten Informationen vorzulegen, wenn dies für die Bescheinigung der Tauglichkeit und/oder für Aufsichtszwecke erforderlich ist.
Die Beschwerdegegnerin ist daher abstrakt zum Empfang und zur Verarbeitung von im Rahmen einer flugmedizinischen Tauglichkeitsuntersuchung ermittelten Daten ermächtigt.
4. Zum Umfang der übermittelten Daten
a) Die im Zuge einer flugmedizinischen Tauglichkeitsuntersuchung zu ermittelnden Daten
MED.B.005 ff des Anhangs IV legt die medizinischen Anforderungen für Tauglichkeitszeugnisse der Klasse 1 und Klasse 2 fest, die im Rahmen einer Tauglichkeitsuntersuchung zu prüfen sind.
Dabei sind auch jene Parameter zu prüfen, deren Löschung der Beschwerdeführer im Wesentlichen verlangt:
So ist etwa die Prüfung
- eines allfälligen Alkoholmissbrauches durch MED.B.055,
- des Urogenitalsystems durch MED.B.035,
- von Hals, Nasen und Ohren durch MED.B.080,
- von Infektionskrankheiten, einschließlich HIV, durch MED.B.040,
- psychologischer Einschränkungen durch MED.B.060,
- des Sehorgans durch MED.B.070,
- der Farberkennung durch MED.B.075,
- des Stoffwechsels und endokrinen Systems durch MED.B.025,
- der Hämatologie durch MED.B.030
vorgesehen.
Nach den genannten Bestimmungen dürfen Bewerber im Regelfall keine Einschränkung in diesen Bereichen aufweisen, um ein Tauglichkeitszeugnis zu erhalten. Dies bedeutet aber, dass der untersuchende flugmedizinische Sachverständige das Vorhandensein etwaiger Einschränkungen zu prüfen hat, was vom Beschwerdeführer nicht bestritten wird.
b) Annehmbare und alternative Nachweisverfahren
Gemäß ARA.GEN.105 Z 1 des Anhangs VI der Verordnung sind annehmbare Nachweisverfahren (Acceptable Means of Compliance, AMC) unverbindliche, von der EASA akzeptierte Standards, die veranschaulichen, in welcher Weise die Einhaltung der Grundverordnung und ihrer Durchführungsbestimmungen erreicht werden kann.
Alternative Nachweisverfahren (Alternative Means of Compliance, AltMOC) stellen nach ARA.GEN.105 Z. 2 eine Alternative zu bestehenden AMC dar oder schlagen neue Verfahren vor, um die Einhaltung der Verordnung (EG) Nr. 216/2008 und ihrer Durchführungsbestimmungen zu erreichen, für die die EASA keine entsprechenden AMC festgelegt hat.
Gemäß ARA.GEN.120 lit. a erarbeitet die EASA AMC, die zur Einhaltung der Verordnung (EG) Nr. 216/2008 und ihrer Durchführungsbestimmungen verwendet werden können. Wenn die AMC erfüllt werden, sind auch die damit zusammenhängenden Anforderungen der Durchführungsbestimmungen erfüllt.
Es können alternative Nachweisverfahren verwendet werden, um die Einhaltung der Durchführungsbestimmungen zu erreichen (ARA.GEN.120 lit. b).
ARA.MED.135 verpflichtet die Behörde u.a. Formblätter für Anträge auf ein Tauglichkeitszeugnis und Untersuchungsberichte für Antragsteller Klasse 1 und Klasse 2 zu verwenden.
Nach ARA.MED.315 muss bei der Genehmigungsbehörde ein Verfahren für die Überprüfung der eingereichten flugmedizinischen Untersuchungs- und Beurteilungsberichte über Inkonsistenzen, Irrtümer oder Fehler beim Beurteilungsverfahren und die Unterstützung von flugmedizinischen Sachverständigen bei Anfragen zur Tauglichkeit in unklaren Fällen bestehen.
Die EASA hat für den Bereich der flugmedizinischen Tauglichkeitsuntersuchung AMC entwickelt, welche als Anhang zur Entscheidung 2012/006/R veröffentlicht wurden und auf der Website der EASA abrufbar sind. In dieser Veröffentlichung finden sich auch die Formulare EASA AMC 1 ARA.MED.135(a) und AMC1 ARA.MED135(b); (c).
Zwar steht es der Beschwerdegegnerin offen, hier Alternative Nachweisverfahren (AltMOC) zu entwickeln. Wie jedoch die Beschwerdegegnerin in ihrer Stellungnahme nachvollziehbar aufzeigte und durch das vorgelegte Schreiben an den Datenschutzrat vom 5. Dezember 2014 untermauerte, kam eine auf Anregung des Datenschutzrates einberufene Arbeitsgruppe – zu deren Mitgliedern auch der Rechtsvertreter des Beschwerdeführers gehörte – zum Schluss, dass dies im Bereich der flugmedizinischen Untersuchungen nicht möglich ist.
Der Beschwerdeführer moniert auch, dass AMC mangels Verbindlichkeit keine taugliche Rechtsgrundlage für eine Datenübermittlung bilden. Dem ist jedoch der Beschluss des Verfassungsgerichtshofes vom 2. Oktober 2013, GZ V 42/2013, entgegenzuhalten, wo dieser in Rz 26 ausführlich dargelegt hat, dass AMC – ohne Dazwischentreten eines weiteren innerstaatlichen Rechtsaktes – verbindlich sind. Daher können sie als Rechtsgrundlage für Übermittlungen an die Beschwerdegegnerin herangezogen werden.
c) Zur Rolle der Beschwerdegegnerin bei Standardverfahren
Der Beschwerdeführer bringt vor, dass die Beschwerdegegnerin eine detaillierte Dokumentation von personenbezogenen Gesundheitsdaten nicht benötige, weil nach MED.A.040 des Anhangs IV der Verordnung grundsätzlich der flugmedizinische Sachverständige oder das flugmedizinische Zentrum für die Beurteilung der Tauglichkeit zuständig seien. Der Beschwerdegegnerin komme im Standardfall lediglich eine nachprüfende Kontrolle zu. Im Anlassfall könne sie nach MED.A.025 lit. d des Anhangs IV vor Ort eine Überprüfung durchführen und sämtliche Daten einsehen.
Dem Beschwerdeführer ist zuzustimmen, dass nach den Bestimmungen des Anhangs IV (Teil-MED) die Entscheidung über die Verlängerung und Erneuerung eines Tauglichkeitszeugnisses der Klasse 1 dem flugmedizinischen Sachverständigen oder dem flugmedizinischen Zentrum obliegt.
Die Let
