Entscheidungsdatum
27.06.2024Norm
ÄrzteG 1998 §51Spruch
W176 2248629-1/17E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. NEWALD als Vorsitzenden und die fachkundigen Laienrichter Mag. BOGENDORFER und RAUB als Beisitzer über die Beschwerde von XXXX , vertreten durch XXXX gegen den Bescheid der Datenschutzbehörde vom 23.09.2021, Zl. DSB-D124.3045, 2020-0.832.983 (Mitbeteiligte Partei: XXXX ), betreffend Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG, in nichtöffentlicher Sitzung zu Recht erkannt:Das Bundesverwaltungsgericht hat durch den Richter Mag. NEWALD als Vorsitzenden und die fachkundigen Laienrichter Mag. BOGENDORFER und RAUB als Beisitzer über die Beschwerde von römisch 40 , vertreten durch römisch 40 gegen den Bescheid der Datenschutzbehörde vom 23.09.2021, Zl. DSB-D124.3045, 2020-0.832.983 (Mitbeteiligte Partei: römisch 40 ), betreffend Verletzung im Recht auf Geheimhaltung gemäß Paragraph eins, DSG, in nichtöffentlicher Sitzung zu Recht erkannt:
A) Die Beschwerde wird als unbegründet abgewiesen.
B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.B) Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
I.1. Mit Schreiben vom 28.09.2020 erhob die Beschwerdeführerin (im Folgenden: BF) eine Datenschutzbeschwerde bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gegen die XXXX (im Folgenden: Mitbeteiligte Partei, MP) wegen einer Verletzung im Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG. Darin brachte sie im Wesentlichen vor, dass im Zuge ihres Anschlussheilverfahrens vom 16.06.2020 bis 07.07.2020 die Einrichtung Rehabilitationszentrum XXXX (des Trägers XXXX ; im Folgenden: Rehabilitationszentrum) ohne ihre Zustimmung MRT-Befunde bei der MP angefordert und diese auch erhalten habe. Dies sei am 16.06.2020 anlässlich einer Besprechung mündlich mitgeteilt worden und die Befunde seien vorgelegt worden. Von diesem Verstoß habe die BF am 25.06.2020 mündlich durch Ärzte des Rehabilitationszentrums erfahren.römisch eins.1. Mit Schreiben vom 28.09.2020 erhob die Beschwerdeführerin (im Folgenden: BF) eine Datenschutzbeschwerde bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gegen die römisch 40 (im Folgenden: Mitbeteiligte Partei, MP) wegen einer Verletzung im Grundrecht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG. Darin brachte sie im Wesentlichen vor, dass im Zuge ihres Anschlussheilverfahrens vom 16.06.2020 bis 07.07.2020 die Einrichtung Rehabilitationszentrum römisch 40 (des Trägers römisch 40 ; im Folgenden: Rehabilitationszentrum) ohne ihre Zustimmung MRT-Befunde bei der MP angefordert und diese auch erhalten habe. Dies sei am 16.06.2020 anlässlich einer Besprechung mündlich mitgeteilt worden und die Befunde seien vorgelegt worden. Von diesem Verstoß habe die BF am 25.06.2020 mündlich durch Ärzte des Rehabilitationszentrums erfahren.
I.2. Mit Schreiben der belangten Behörde vom 01.10.2020 wurde der MP die Datenschutzbeschwerde der BF übermittelt. Die MP wurde dazu zur Stellungnahme aufgefordert.römisch eins.2. Mit Schreiben der belangten Behörde vom 01.10.2020 wurde der MP die Datenschutzbeschwerde der BF übermittelt. Die MP wurde dazu zur Stellungnahme aufgefordert.
I.3. In ihrer Stellungnahme vom 20.10.2020 brachte die MP zusammengefasst vor, dass der radiologische Befund für die Untersuchung vom 05.05.2020 vom Rehabilitationszentrum angefordert worden sei. Dabei sei von der anfordernden Stelle glaubhaft vermittelt worden, dass die BF zwar die Bilddaten beigebracht habe, der zugehörige Befund des Radiologen aber gefehlt habe. Der schriftliche Befund sei von den behandelnden Ärzten zur Beurteilung und weiteren Behandlungsplanung als wichtig erachtet worden. Die BF habe zudem mündlich ihr Einverständnis der anfordernden Partei gegenüber ausgesprochen. Grundlage für die Übermittlung sei somit § 51 Abs. 2 Z. 2 ÄrzteG gewesen. Zudem sei die Aufforderung zur Befundübermittlung von einer Rehabilitationseinrichtung der XXXX , welche als kostenübernehmende Versicherung der angeforderten radiologischen Untersuchung aufgetreten sei, erfolgt. Der Stellungnahme wurde ein Auszug aus dem Verzeichnis der MP für Verarbeitungstätigkeiten zu ebendieser Vorgangsweise beigelegt.römisch eins.3. In ihrer Stellungnahme vom 20.10.2020 brachte die MP zusammengefasst vor, dass der radiologische Befund für die Untersuchung vom 05.05.2020 vom Rehabilitationszentrum angefordert worden sei. Dabei sei von der anfordernden Stelle glaubhaft vermittelt worden, dass die BF zwar die Bilddaten beigebracht habe, der zugehörige Befund des Radiologen aber gefehlt habe. Der schriftliche Befund sei von den behandelnden Ärzten zur Beurteilung und weiteren Behandlungsplanung als wichtig erachtet worden. Die BF habe zudem mündlich ihr Einverständnis der anfordernden Partei gegenüber ausgesprochen. Grundlage für die Übermittlung sei somit Paragraph 51, Absatz 2, Ziffer 2, ÄrzteG gewesen. Zudem sei die Aufforderung zur Befundübermittlung von einer Rehabilitationseinrichtung der römisch 40 , welche als kostenübernehmende Versicherung der angeforderten radiologischen Untersuchung aufgetreten sei, erfolgt. Der Stellungnahme wurde ein Auszug aus dem Verzeichnis der MP für Verarbeitungstätigkeiten zu ebendieser Vorgangsweise beigelegt.
I.4. Mit Schreiben der belangten Behörde vom 17.11.2020 wurde die BF über den Verfahrensstand informiert und wurde ihr die Gelegenheit gegeben, dazu eine Stellungnahme abzugeben.römisch eins.4. Mit Schreiben der belangten Behörde vom 17.11.2020 wurde die BF über den Verfahrensstand informiert und wurde ihr die Gelegenheit gegeben, dazu eine Stellungnahme abzugeben.
I.5. Mit Eingabe vom 03.12.2020 beantragte die BF eine Fristerstreckung für die Abgabe einer Stellungnahme, welche ihr von der belangten Behörde gewährt wurde. Am 14.02.2020 langte eine Vollmachtsbekanntgabe und Stellungnahme der BF bei der belangten Behörde. Darin brachte die BF im Wesentlichen vor, dass es sich um ein physiotherapeutisches und um kein neurologisches Anschlussheilverfahren gehandelt habe. Die MP habe dem Rehabilitationszentrum unreflektiert und ungeprüft ihre Schädel-MRT-Befunde übersandt, obwohl sie erkennen hätte müssen, dass diese in keinem Zusammenhang mit der anfragenden Institution stehe. Es sei keine ausdrückliche Einwilligung der BF vorgelegen. Indem die MP der BF trotz evidenter Kenntnis ihrer kognitiven Beeinträchtigungen mangelnde Mitwirkungsbereitschaft vorhalte, beweise diese eindeutig die eklatante Verletzung ihrer medizinischen Fürsorgeverpflichtung der BF gegenüber. Denn es sei medizinisch evident unbestritten, dass sie als Demenzpatientin nicht wirksam agieren hätte können. In casu habe weiters kein medizinischer Notfall vorgelegen, der die MP allenfalls legitimiert hätte, ohne ihre Zustimmung Befunde zu übermitteln. Ebenso habe kein überwiegendes berechtigtes Interesse der MP vorgelegen. § 51 Abs. 2 ÄrzteG stelle in casu keinen Ermächtigungstatbestand für die erfolgte Datenschutzverletzung durch die MP dar. Die MP habe die kumulativen Voraussetzungen der Art. 6 und 9 DSGVO zur Gewährleistung des hohen Schutzniveaus nicht erfüllt. römisch eins.5. Mit Eingabe vom 03.12.2020 beantragte die BF eine Fristerstreckung für die Abgabe einer Stellungnahme, welche ihr von der belangten Behörde gewährt wurde. Am 14.02.2020 langte eine Vollmachtsbekanntgabe und Stellungnahme der BF bei der belangten Behörde. Darin brachte die BF im Wesentlichen vor, dass es sich um ein physiotherapeutisches und um kein neurologisches Anschlussheilverfahren gehandelt habe. Die MP habe dem Rehabilitationszentrum unreflektiert und ungeprüft ihre Schädel-MRT-Befunde übersandt, obwohl sie erkennen hätte müssen, dass diese in keinem Zusammenhang mit der anfragenden Institution stehe. Es sei keine ausdrückliche Einwilligung der BF vorgelegen. Indem die MP der BF trotz evidenter Kenntnis ihrer kognitiven Beeinträchtigungen mangelnde Mitwirkungsbereitschaft vorhalte, beweise diese eindeutig die eklatante Verletzung ihrer medizinischen Fürsorgeverpflichtung der BF gegenüber. Denn es sei medizinisch evident unbestritten, dass sie als Demenzpatientin nicht wirksam agieren hätte können. In casu habe weiters kein medizinischer Notfall vorgelegen, der die MP allenfalls legitimiert hätte, ohne ihre Zustimmung Befunde zu übermitteln. Ebenso habe kein überwiegendes berechtigtes Interesse der MP vorgelegen. Paragraph 51, Absatz 2, ÄrzteG stelle in casu keinen Ermächtigungstatbestand für die erfolgte Datenschutzverletzung durch die MP dar. Die MP habe die kumulativen Voraussetzungen der Artikel 6 und 9 DSGVO zur Gewährleistung des hohen Schutzniveaus nicht erfüllt.
I.6. Mit dem angefochtenen Bescheid wies die belangte Behörde die Datenschutzbeschwerde der BF als unbegründet ab.römisch eins.6. Mit dem angefochtenen Bescheid wies die belangte Behörde die Datenschutzbeschwerde der BF als unbegründet ab.
Begründend wurde ausgeführt, dass gegenständlich insofern in das Recht auf Geheimhaltung der BF eingegriffen worden sei, indem ihr Befund samt der darin enthaltenen personenbezogenen Daten an das Rehabilitationszentrum übermittelt worden sei. Dabei würden besonders schutzwürdige Daten iSd. § 1 Abs. 2 zweiter Satz DSG und Art. 9 Abs. 1 DSGVO – nämlich Gesundheitsdaten der BF – verarbeitet werden. Für solche besonderen Kategorien personenbezogener Daten gelte nach Art. 9 Abs. 1 leg. cit. ein Verarbeitungsverbot, wobei in Art. 9 Abs. 2 leg. cit. Ausnahmen dieses Verbotes aufgelistet seien. Art. 9 Abs. 2 lit. h DSGVO gestatte die Verarbeitung von Gesundheitsdaten, die für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Abs. 3 genannten Bedingungen und Garantien erforderlich seien. Die Verarbeitung im Rahmen dieser „Gesundheitsleistungen“ müsse auf Unionsrecht, innerstaatlichem Recht oder einem Vertrag mit einem Angehörigen eines Gesundheitsberufs beruhen. Darüber hinaus müsse die Verarbeitung gemäß des sich auf Art. 9 Abs. 2 DSGVO beziehenden Erwägungsgrundes 53 Satz 1 erforderlich sein und zwar „im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt“ (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO Rz 52). Als Rechtsgrundlage würden gegenständlich die Bestimmungen des MTD-Gesetzes in Betracht kommen: Die MP sei als radiologisch-technischer Dienst gemäß § 1 Z 3 iVm § 2 Abs. 3 leg. cit. als gehobener medizinisch-technischer Dienst zu qualifizieren. Gemäß § 11 Abs. 1 leg. cit hätten Angehörige der gehobenen medizinisch-technischen Dienste ihren Beruf ohne Unterschied der Person gewissenhaft auszuüben. Sie hätten das Wohl und die Gesundheit der Patienten und Klienten unter Einhaltung der hiefür geltenden Vorschriften und nach Maßgabe der fachlichen und wissenschaftlichen Erkenntnisse und Erfahrungen zu wahren. Gemäß § 11b Abs. 2 leg.cit. hätten Angehörige von gehobenen medizinisch-technischen Diensten anderen Angehörigen der Gesundheitsberufe, die die betroffenen Patienten oder Klienten behandeln oder pflegen würden, die für die Behandlung oder Pflege erforderlichen Auskünfte und über die von ihnen gesetzten Maßnahmen Auskünfte zu erteilen. Wie festgestellt, sei der angefragte neurologische Befund für die Einschätzung des Gesundheitszustandes und des weiteren Behandlungsverlaufes der BF im physiotherapeutischen Anschlussheilverfahren als äußerst wichtig erachtet worden, zumal die BF dement sei und auch keine Angaben zu ihrem Gesundheitszustand tätigen habe können. In Entsprechung der Berufspflichten gemäß § 11 Abs. 1 MTD-Gesetz und in Zusammenhang mit den erforderlichen medizinischen Maßnahmen der Rehabilitation des Anschlussheilverfahrens erscheine die Anfrage des neurologischen Befundes zudem aus folgenden Gründen erforderlich: Ohne genaue Kenntnis etwaiger neurologischer Erkrankungen und Diagnosen der BF wäre eine ordnungsgemäße Erfüllung der die Fachärzte des Rehabilitationszentrums treffenden Behandlungspflicht nicht möglich, zumal die BF aufgrund ihrer Demenz selbst nicht in der Lage gewesen sei, entsprechende Angaben zu tätigen. Die Anfrage des Befundes sei daher letztendlich auch im Interesse der BF selbst gelegen. Die MP sei daher aufgrund von § 11b Abs. 2 MTD-Gesetz berechtigt gewesen, den Befund an die die BF behandelnden Ärzte zu übermitteln. Zudem gebe es gegenständlich keine Anhaltspunkte, dass die in § 9 Abs. 3 DSGVO genannten Bedingungen und Garantien nicht eingehalten worden seien. Die Übermittlung des Befundes an das Rehabilitationszentrum durch die MP sei daher rechtmäßig erfolgt.Begründend wurde ausgeführt, dass gegenständlich insofern in das Recht auf Geheimhaltung der BF eingegriffen worden sei, indem ihr Befund samt der darin enthaltenen personenbezogenen Daten an das Rehabilitationszentrum übermittelt worden sei. Dabei würden besonders schutzwürdige Daten iSd. Paragraph eins, Absatz 2, zweiter Satz DSG und Artikel 9, Absatz eins, DSGVO – nämlich Gesundheitsdaten der BF – verarbeitet werden. Für solche besonderen Kategorien personenbezogener Daten gelte nach Artikel 9, Absatz eins, leg. cit. ein Verarbeitungsverbot, wobei in Artikel 9, Absatz 2, leg. cit. Ausnahmen dieses Verbotes aufgelistet seien. Artikel 9, Absatz 2, Litera h, DSGVO gestatte die Verarbeitung von Gesundheitsdaten, die für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3, genannten Bedingungen und Garantien erforderlich seien. Die Verarbeitung im Rahmen dieser „Gesundheitsleistungen“ müsse auf Unionsrecht, innerstaatlichem Recht oder einem Vertrag mit einem Angehörigen eines Gesundheitsberufs beruhen. Darüber hinaus müsse die Verarbeitung gemäß des sich auf Artikel 9, Absatz 2, DSGVO beziehenden Erwägungsgrundes 53 Satz 1 erforderlich sein und zwar „im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt“ vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 9, DSGVO Rz 52). Als Rechtsgrundlage würden gegenständlich die Bestimmungen des MTD-Gesetzes in Betracht kommen: Die MP sei als radiologisch-technischer Dienst gemäß Paragraph eins, Ziffer 3, in Verbindung mit Paragraph 2, Absatz 3, leg. cit. als gehobener medizinisch-technischer Dienst zu qualifizieren. Gemäß Paragraph 11, Absatz eins, leg. cit hätten Angehörige der gehobenen medizinisch-technischen Dienste ihren Beruf ohne Unterschied der Person gewissenhaft auszuüben. Sie hätten das Wohl und die Gesundheit der Patienten und Klienten unter Einhaltung der hiefür geltenden Vorschriften und nach Maßgabe der fachlichen und wissenschaftlichen Erkenntnisse und Erfahrungen zu wahren. Gemäß Paragraph 11 b, Absatz 2, leg.cit. hätten Angehörige von gehobenen medizinisch-technischen Diensten anderen Angehörigen der Gesundheitsberufe, die die betroffenen Patienten oder Klienten behandeln oder pflegen würden, die für die Behandlung oder Pflege erforderlichen Auskünfte und über die von ihnen gesetzten Maßnahmen Auskünfte zu erteilen. Wie festgestellt, sei der angefragte neurologische Befund für die Einschätzung des Gesundheitszustandes und des weiteren Behandlungsverlaufes der BF im physiotherapeutischen Anschlussheilverfahren als äußerst wichtig erachtet worden, zumal die BF dement sei und auch keine Angaben zu ihrem Gesundheitszustand tätigen habe können. In Entsprechung der Berufspflichten gemäß Paragraph 11, Absatz eins, MTD-Gesetz und in Zusammenhang mit den erforderlichen medizinischen Maßnahmen der Rehabilitation des Anschlussheilverfahrens erscheine die Anfrage des neurologischen Befundes zudem aus folgenden Gründen erforderlich: Ohne genaue Kenntnis etwaiger neurologischer Erkrankungen und Diagnosen der BF wäre eine ordnungsgemäße Erfüllung der die Fachärzte des Rehabilitationszentrums treffenden Behandlungspflicht nicht möglich, zumal die BF aufgrund ihrer Demenz selbst nicht in der Lage gewesen sei, entsprechende Angaben zu tätigen. Die Anfrage des Befundes sei daher letztendlich auch im Interesse der BF selbst gelegen. Die MP sei daher aufgrund von Paragraph 11 b, Absatz 2, MTD-Gesetz berechtigt gewesen, den Befund an die die BF behandelnden Ärzte zu übermitteln. Zudem gebe es gegenständlich keine Anhaltspunkte, dass die in Paragraph 9, Absatz 3, DSGVO genannten Bedingungen und Garantien nicht eingehalten worden seien. Die Übermittlung des Befundes an das Rehabilitationszentrum durch die MP sei daher rechtmäßig erfolgt.
I.7. Gegen den Bescheid der belangten Behörde richtete sich die am 21.10.2021 fristgerecht erhobene Beschwerde. In der Beschwerde wiederholte die BF ihr bisheriges Vorbringen und führte im Wesentlichen ergänzend aus, dass sie zu dem damaligen Zeitpunkt nur insoweit dement gewesen sei, dass sie lediglich kognitiv beeinträchtigt und voll handlungs- und geschäftsfähig gewesen sei. Dies sei der XXXX vor und bei Antritt des Anschlussheilverfahrens mitgeteilt worden, und vor allem auch das Bestehen einer Vorsorgevollmacht, die offengelegt und nachgewiesen worden sei. Darüber hinaus verfüge die belangte Behörde nicht über medizinische Fachkenntnisse zur Beurteilung ihres Krankheitsbildes. Es sei ihr daher rechtlich verwehrt, die eigenständige medizinische Beurteilung in concreto durchzuführen. Der angeforderte Befund sei einerseits medizinisch nicht erforderlich gewesen, andererseits hätte dieser zeitlich adäquat ohne Beeinträchtigung der Behandlung durch ihre Vertreter erbracht werden können. Außerdem sei es medizinisch evident, dass der schriftliche Befund allenfalls sekundär sei; primär würden zur Befundung stets die Bilder herangezogen werden. Da die MP nicht über die nachweisliche medizinische Expertise verfüge, bestehe auch keine Erforderlichkeit zur Befundabfrage. Das Anschlussheilverfahren für das neue Hüftgelenk habe medizinisch evident sowie notorisch keine neurologische Befundung erfordert. Die unreflektierte Übernahme des Vorbringens der MP belaste den Bescheid mit Rechtswidrigkeit. Außerdem würden private bzw. öffentliche Krankenversicherungsanstalten nicht unter Art. 9 Abs. 2 lit. h DSGVO fallen. Die gesetzliche Interessenabwägung würde ergeben, dass im Zweifel die Schutzwürdigkeit der BF überwiege. Falls die medizinischen Unterlagen unvollständig gewesen seien, hätte die MP den von der BF Bevollmächtigen um Übermittlung der fehlenden Befunde ersuchen müssen. Dies wäre das adäquate und gelindeste Mittel gewesen. § 11 MTD-Gesetz komme nach Art. 9 Abs. 2 lit. h DSGVO nicht zur Anwendung, da die Erforderlichkeit nachweislich nicht vorgelegen habe. Die MP hätte sich zwingend eine schriftliche Zustimmung vorlegen lassen müssen. Eine Einwilligung der BF zur Befundübermittlung bzw. Abfrage habe niemals vorgelegen und es hätten keine Ermächtigungs- oder Ausnahmetatbestände zur Legitimierung des datenschutzrechtswidrigen Verhaltens der MP bestanden.römisch eins.7. Gegen den Bescheid der belangten Behörde richtete sich die am 21.10.2021 fristgerecht erhobene Beschwerde. In der Beschwerde wiederholte die BF ihr bisheriges Vorbringen und führte im Wesentlichen ergänzend aus, dass sie zu dem damaligen Zeitpunkt nur insoweit dement gewesen sei, dass sie lediglich kognitiv beeinträchtigt und voll handlungs- und geschäftsfähig gewesen sei. Dies sei der römisch 40 vor und bei Antritt des Anschlussheilverfahrens mitgeteilt worden, und vor allem auch das Bestehen einer Vorsorgevollmacht, die offengelegt und nachgewiesen worden sei. Darüber hinaus verfüge die belangte Behörde nicht über medizinische Fachkenntnisse zur Beurteilung ihres Krankheitsbildes. Es sei ihr daher rechtlich verwehrt, die eigenständige medizinische Beurteilung in concreto durchzuführen. Der angeforderte Befund sei einerseits medizinisch nicht erforderlich gewesen, andererseits hätte dieser zeitlich adäquat ohne Beeinträchtigung der Behandlung durch ihre Vertreter erbracht werden können. Außerdem sei es medizinisch evident, dass der schriftliche Befund allenfalls sekundär sei; primär würden zur Befundung stets die Bilder herangezogen werden. Da die MP nicht über die nachweisliche medizinische Expertise verfüge, bestehe auch keine Erforderlichkeit zur Befundabfrage. Das Anschlussheilverfahren für das neue Hüftgelenk habe medizinisch evident sowie notorisch keine neurologische Befundung erfordert. Die unreflektierte Übernahme des Vorbringens der MP belaste den Bescheid mit Rechtswidrigkeit. Außerdem würden private bzw. öffentliche Krankenversicherungsanstalten nicht unter Artikel 9, Absatz 2, Litera h, DSGVO fallen. Die gesetzliche Interessenabwägung würde ergeben, dass im Zweifel die Schutzwürdigkeit der BF überwiege. Falls die medizinischen Unterlagen unvollständig gewesen seien, hätte die MP den von der BF Bevollmächtigen um Übermittlung der fehlenden Befunde ersuchen müssen. Dies wäre das adäquate und gelindeste Mittel gewesen. Paragraph 11, MTD-Gesetz komme nach Artikel 9, Absatz 2, Litera h, DSGVO nicht zur Anwendung, da die Erforderlichkeit nachweislich nicht vorgelegen habe. Die MP hätte sich zwingend eine schriftliche Zustimmung vorlegen lassen müssen. Eine Einwilligung der BF zur Befundübermittlung bzw. Abfrage habe niemals vorgelegen und es hätten keine Ermächtigungs- oder Ausnahmetatbestände zur Legitimierung des datenschutzrechtswidrigen Verhaltens der MP bestanden.
I.8. Die gegenständliche Beschwerde und der bezugshabende Verwaltungsakt wurden dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Schreiben vom 19.11.2021 von der belangten Behörde vorgelegt. In ihrer Stellungnahme zur Beschwerde der BF bestritt die belangte Behörde das Beschwerdevorbringen zur Gänze und verwies vollinhaltlich auf den angefochtenen Bescheid.römisch eins.8. Die gegenständliche Beschwerde und der bezugshabende Verwaltungsakt wurden dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Schreiben vom 19.11.2021 von der belangten Behörde vorgelegt. In ihrer Stellungnahme zur Beschwerde der BF bestritt die belangte Behörde das Beschwerdevorbringen zur Gänze und verwies vollinhaltlich auf den angefochtenen Bescheid.
I.9. Mit Schriftsatz vom 22.03.2023 nahm die MP zur Bescheidbeschwerde zusammengefasst dahingehend Stellung, dass die Datenübermittlung auf mehrere Erlaubnistatbestände der DSGVO gestützt werden könne: So sei diese schon gemäß Art. 9 lit. a DSGVO rechtmäßig, weil die BF ihre ausdrückliche Einwilligung erteilt habe; ein Schriftlichkeitserfordernis bestehe dabei nicht. Alternativ könne die Datenübermittlung auf Art. 9 Abs. 2 lit. h DSGVO gestützt werden, wobei auf die legitimierenden nationalen Rechtsvorschriften des § 51 Abs. 2 Z 1 und Z 2 ÄrzteG sowie des § 11b Abs. 2 MTD-Gesetz hinzuweisen sei. Darüber hinaus sei die Datenübermittlung auch von den bestehenden Behandlungsverträgen (zwischen der BF und der MP sowie zwischen der BF und dem Rehabilitationszentrum) gedeckt. römisch eins.9. Mit Schriftsatz vom 22.03.2023 nahm die MP zur Bescheidbeschwerde zusammengefasst dahingehend Stellung, dass die Datenübermittlung auf mehrere Erlaubnistatbestände der DSGVO gestützt werden könne: So sei diese schon gemäß Artikel 9, Litera a, DSGVO rechtmäßig, weil die BF ihre ausdrückliche Einwilligung erteilt habe; ein Schriftlichkeitserfordernis bestehe dabei nicht. Alternativ könne die Datenübermittlung auf Artikel 9, Absatz 2, Litera h, DSGVO gestützt werden, wobei auf die legitimierenden nationalen Rechtsvorschriften des Paragraph 51, Absatz 2, Ziffer eins und Ziffer 2, ÄrzteG sowie des Paragraph 11 b, Absatz 2, MTD-Gesetz hinzuweisen sei. Darüber hinaus sei die Datenübermittlung auch von den bestehenden Behandlungsverträgen (zwischen der BF und der MP sowie zwischen der BF und dem Rehabilitationszentrum) gedeckt.
II. Das Bundesverwaltungsgericht hat erwogen:römisch II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen
1.1. Das Bundesverwaltungsgericht legt seiner Entscheidung den unter Punkt I. dargestellten Sachverhalt zugrunde.1.1. Das Bundesverwaltungsgericht legt seiner Entscheidung den unter Punkt römisch eins. dargestellten Sachverhalt zugrunde.
1.2. Insbesondere wird festgestellt:
Die BF absolvierte nach einer Hüftoperation im Zeitraum 16.06.2020 bis 17.07.2020 ein Anschlussheilverfahren gemäß § 65a B-KUVG im Rehabilitationszentrum XXXX . Dieses ist eine Sonderkrankenanstalt der XXXX . Die BF absolvierte nach einer Hüftoperation im Zeitraum 16.06.2020 bis 17.07.2020 ein Anschlussheilverfahren gemäß Paragraph 65 a, B-KUVG im Rehabilitationszentrum römisch 40 . Dieses ist eine Sonderkrankenanstalt der römisch 40 .
Die BF war zum Zeitpunkt des Anschlussheilverfahrens 77 Jahre alt und ist seit zwei Gehirnoperationen im Jahre 2018 dement und kognitiv signifikant eingeschränkt. Dem ärztlichen Team des Rehabilitationszentrums war die Demenz der BF bekannt.
Die BF trat die Rehabilitation ohne jegliche Befunde an und konnte keine Angaben zu ihren Medikamenten und Vorbefunden tätigen.
Der von der BF bevollmächtigte XXXX , legte einige Tage nach der stationären Aufnahme der BF ein Konvolut radiologischer Bilder vor. Das ärztliche Team des Rehabilitationszentrums XXXX sichtete diese radiologischen Bilder, ordnete sie, befundete sie radiologisch und interpretierte sie neurochirurgisch. Der von der BF bevollmächtigte römisch 40 , legte einige Tage nach der stationären Aufnahme der BF ein Konvolut radiologischer Bilder vor. Das ärztliche Team des Rehabilitationszentrums römisch 40 sichtete diese radiologischen Bilder, ordnete sie, befundete sie radiologisch und interpretierte sie neurochirurgisch.
Bei einem der vorgelegten radiologischen Bilder der MP fehlte der entsprechende Befundteil betreffend eine Untersuchung am 05.05.2020. Dieser neurologische MRT-Befund wurde von dem ärztlichen Team des Rehabilitationszentrums für die Einschätzung des Gesundheitszustandes und des weiteren Behandlungsverlaufes der BF im physiotherapeutischen Anschlussheilverfahren als wichtig erachtet. Das ärztliche Team des Rehabilitationszentrums ersuchte daher die MP am 22.06.2020 um Übermittlung eines Duplikats. Der angefragte Befundteil wurde noch am selben Tag von der MP an das Rehabilitationszentrum gefaxt.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus den Angaben der Parteien im Zuge des Verfahrens vor der belangten Behörde und den von ihr vorgelegten Verwaltungsunterlagen.
Die Feststellungen zum Anschlussheilverfahren der BF beruhen auf ihren Angaben in der Datenschutzbeschwerde vom 28.09.2020 sowie auf den Ausführungen im angefochtenen Bescheid. Die Feststellungen zum Alter und zu der Demenz bzw. kognitiven Beeinträchtigung der BF ergeben sich aus den Ausführungen in der Stellungnahme der BF vom 14.12.2020 und im angefochtenen Bescheid. Wenn die BF nunmehr in ihrer Beschwerde ausführt, dass sie zu dem damaligen Zeitpunkt nur insoweit dement gewesen sei, dass sie lediglich kognitiv beeinträchtigt und voll handlungs- und geschäftsfähig gewesen sei (vgl. Beschwerde, Seite 3), sind diese Ausführungen nicht nachvollziehbar, da sie in Widerspruch zu ihren vorherigen Angaben stehen. So lässt sich ihrer Stellungnahme vom 14.12.2020 entnehmen, dass sie die Konsequenzen ihres Handelns nicht erfassen, geschweige denn absehen habe können und dass es medizinisch evident und unbestritten sei, dass sie als Demenzpatientin nicht wirksam agieren könne. Insbesondere wies die BF darauf hin, dass wenn die MP sie gefragt hätte, ob diese die Befunde abfragen hätte dürfen, sie die Tragweite und den Kontext dieser Anfrage intellektuell nicht verarbeiten hätte können. Vor diesem Hintergrund kann der belangten Behörde – entgegen der Ansicht der BF – nicht vorgehalten werden, dass sie die entsprechenden Feststellungen getroffen hat (sh. Bescheid, Seite 2 f).Die Feststellungen zum Anschlussheilverfahren der BF beruhen auf ihren Angaben in der Datenschutzbeschwerde vom 28.09.2020 sowie auf den Ausführungen im angefochtenen Bescheid. Die Feststellungen zum Alter und zu der Demenz bzw. kognitiven Beeinträchtigung der BF ergeben sich aus den Ausführungen in der Stellungnahme der BF vom 14.12.2020 und im angefochtenen Bescheid. Wenn die BF nunmehr in ihrer Beschwerde ausführt, dass sie zu dem damaligen Zeitpunkt nur insoweit dement gewesen sei, dass sie lediglich kognitiv beeinträchtigt und voll handlungs- und geschäftsfähig gewesen sei vergleiche Beschwerde, Seite 3), sind diese Ausführungen nicht nachvollziehbar, da sie in Widerspruch zu ihren vorherigen Angaben stehen. So lässt sich ihrer Stellungnahme vom 14.12.2020 entnehmen, dass sie die Konsequenzen ihres Handelns nicht erfassen, geschweige denn absehen habe können und dass es medizinisch evident und unbestritten sei, dass sie als Demenzpatientin nicht wirksam agieren könne. Insbesondere wies die BF darauf hin, dass wenn die MP sie gefragt hätte, ob diese die Befunde abfragen hätte dürfen, sie die Tragweite und den Kontext dieser Anfrage intellektuell nicht verarbeiten hätte können. Vor diesem Hintergrund kann der belangten Behörde – entgegen der Ansicht der BF – nicht vorgehalten werden, dass sie die entsprechenden Feststellungen getroffen hat (sh. Bescheid, Seite 2 f).
Die Feststellungen zur Übermittlung des Befundes der BF durch die MP ergeben sich aus den Angaben der MP in ihrer Stellungnahme vom 20.10.2020 und den Ausführungen der belangten Behörde im angefochtenen Bescheid. Dass für die Einschätzung des Gesundheitszustandes und des weiteren Behandlungsverlaufes der BF im physiotherapeutischen Anschlussheilverfahren der neurologische Befund als wichtig erachtet wurde, ist vor dem Hintergrund, dass einige Behandlungsmethoden für Demenzpatienten nicht geeignet oder schädlich sein könnten, nachvollziehbar. Das Vorbringen der BF, dass dieser Befund nicht erforderlich gewesen sei, ist unsubstantiiert und vermag die Erklärung der behandelnden Ärzte, die den Befund zur Beurteilung und weiteren Behandlungsplanung als wichtig erachteten, nicht zu entkräften.
3. Rechtliche Beurteilung:
3.1. Zu Spruchpunkt A) – Abweisung der Beschwerde:
3.1.1. Maßgebliche Rechtsvorschriften und Rechtsprechung:
§ 1 DSG – Grundrecht auf Datenschutz – lautet auszugsweise:Paragraph eins, DSG – Grundrecht auf Datenschutz – lautet auszugsweise:
(1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
[…]
Art. 4 DSGVO - Begriffsbestimmungen – lautet auszugsweise: Artikel 4, DSGVO - Begriffsbestimmungen – lautet auszugsweise:
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
[…]
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[…]
Art. 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten – lautet:Artikel 5, DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten – lautet:
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung – lautet auszugsweise:Artikel 6, DSGVO – Rechtmäßigkeit der Verarbeitung – lautet auszugsweise:
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben
