In einer kürzlich veröffentlichten Entscheidung der Datenschutzbehörde gegen eine Tagesklinik wurden gleich mehrfache Verstöße gegen die DSGVO festgestellt. In vielen Fällen wurde zwar nur bereits Bekanntes bestätigt, jedoch gibt die Entscheidung auch Aufschluss über die Arbeitsweise der DSB und stellt in einigen Bereichen bisherige kleinere Unschärfen klar.
[lindepaywall tokens=“dsaktuell-media“]
Amtswegige Prüfung wegen Sicherheitsverletzung
Die Datenschutzbehörde („DSB“) hat zwei Meldungen der Verantwortlichen, einer Allergie-Tagesklinik, über eine Sicherheitsverletzung nach Art 33 DSGVO zum Anlass genommen, sich das betreffende Unternehmen genauer anzusehen und ein amtswegiges Prüfungsverfahren einzuleiten (DSB-D213.692/0001-DSB/2018). Hauptauslöser war, dass in den Meldungen nur ein „Datenschutz-Koordinator“ genannt wurde, jedoch kein Datenschutzbeauftragter bestellt war. Die DSB forderte daher – offenbar unter vorheriger Internetrecherche über die Website und die dort vorhandene Datenschutzerklärung – gemäß § 22 Abs 1 DSG das Verarbeitungsverzeichnis, die Patienten-Datenschutzerklärung sowie die Datenschutzfolgenabschätzungen („DSFA“) an und ersuchte die Verantwortliche um Aufklärung über diverse Punkte, wie die Begründung, warum kein Datenschutzbeauftragter bestellt wurde, welche Daten nicht direkt bei den Betroffenen erhoben werden, warum kein Cookie-Hinweis gesetzt wurde, welche Datensicherheitsmaßnahmen bestehen, die Speicherdauer, den Speicherort (lokal/Cloud) sowie um Bekanntgabe allfälliger Auftragsverarbeiter und Übermittlungsempfänger.
Dies bestätigt die bisherige weit verbreitete Vermutung, dass die DSB insbesondere dann amtswegig tätig wird, wenn gewisse Sachverhalte – wie Sicherheitsverletzungen – an sie herangetragen werden und bestimmte Umstände in diesem Zusammenhang Anlass zu Zweifel geben, ob die Datenverarbeitung bei diesem Unternehmen (zumindest weitgehend) DSGVO-konform ist. Dann prüft die DSB auch andere DSGVO-Umsetzungsmaßnahmen ab, die zumindest in jedem Unternehmen bestehen sollten und deren Nichteinhaltung von der DSB bereits vermutet wurden.
Die Verstöße
Die DSB stellte in Ihrer Entscheidung eine Vielzahl an Verstößen fest:
- Verstoß gegen die Pflicht zur Bestellung eines Datenschutzbeauftragten.
- Verpflichtung der Betroffenen zu einer gesetzwidrigen Einwilligung, da
- Tatbestände erfasst, die keiner Einwilligung unterliegen und
- nicht klar, für welche Verarbeitungen die Einwilligung Rechtsgrundlage ist.
- Verstoß gegen die Informationspflichten, weil
- keine Unterscheidung, ob Informationen nach Art 13 oder 14 DSGVO erteilt,
- nicht bestellter Datenschutzbeauftragter angegeben,
- Rechtsgrundlagen für die Verarbeitung unvollständig angeführt,
- berechtigte Interessen nicht beschrieben,
- Unterlassung des Hinweises der jederzeitigen Widerrufbarkeit der Einwilligung mit Wirkung für die Zukunft.
- Keine Prüfung der Notwendigkeit von DSFA für diverse Verarbeitungstätigkeiten und unzutreffende Annahme, dass jedenfalls keine DSFA notwendig wären.
Zu einigen Aspekten der Verstöße im Detail
Kein Datenschutzbeauftragter bestellt
Als Allergie-Tagesklinik verarbeitet die Verantwortliche unstrittig besondere Kategorien personenbezogener Daten iSd Art 9 DSGVO. Da die Kerntätigkeit der Verantwortlichen gerade die Diagnostik und die Behandlung von Allergien ist, kommt die Behörde hier unter Verweis auf die Leitlinien zum Datenschutzbeauftragten (WP 243) und zur Datenschutz-Folgenabschätzung (WP 248) der Art 29-Datenschutzgruppe zum Schluss, dass diese Kerntätigkeit auch eine umfangreiche Verarbeitung iSd Art 37 Abs 1 lit c) DSGVO von besonderen Kategorien personenbezogener Daten begründet und daher ein Datenschutzbeauftragter zu bestellen ist.
Gesetzwidrige Einwilligung
Die Verantwortliche verknüpfte in der von Patienten zwingend abzugebenden Erklärung die Einwilligung nach Art 9 Abs 1 lit a) DSGVO mit der Zustimmung zum unverschlüsselten Versand von Befunden als auch mit der Zustimmung zur Heranziehung von Dienstleistern. Sowohl die Heranziehung von Dienstleistern bzw. Auftragsverarbeitern als auch die verschlüsselte bzw. unverschlüsselte Übermittlung von Dokumenten (als Datensicherheitsmaßnahme) sind aber Fragen, die ausschließlich von der Verantwortlichen zu beurteilen und daher einer Einwilligung grundsätzlich nicht zugänglich sind. Die Bindung der eigentlichen Einwilligung nach Art 9 Abs 1 lit a) DSGVO an diese Umstände führt somit zur Unzulässigkeit der gesamten Einwilligungserklärung, da diese Umstände für die Erfüllung des Vertrages nicht erforderlich sind (Kopplungsverbot nach Art 7 Abs 4 DSGVO).
Unterlassung der Prüfung der Notwendigkeit von DSFA
Die Verantwortliche betreibt ua die Verarbeitungstätigkeiten „Patientenakten (Adress-, Rechnungs- und Meldedaten)“, „Abrechnung (Abrechnung mit der Sozialversicherung)“, „Befundanforderung/Befundübermittlung (Übermittlung und Offenlegung)“, “Untersuchung von Proben (Untersuchung und Versand von Proben [Blut, Sekret etc.])“, „Verwaltung von Rezepten (Speicherung, welche Rezepte Patienten benötigen)“ und “Hausapotheke (Betrieb, Verwaltung, Abrechnung und Organisation der Hausapotheke)“. In diesen werden sämtliche der Verantwortlichen bekannten Gesundheitsdaten verwaltet, offengelegt und übermittelt, was zumindest die Prüfung der Notwendigkeit einer DSFA erforderlich macht. Das Argument der Verantwortlichen, dass nach dem Ausnahmetatbestand des § 1 DSFA-V iVm DSFA-A12 grundsätzlich keine DSFA erforderlich wäre, da es sich um eine Patientenverwaltung durch Ärzte handelt, lässt die DSB nicht gelten, da sich diese Ausnahme nur auf Patientenverwaltungen bezieht, die von einzelnen Ärzten geführt werden.
Hinsichtlich der tatsächlichen Erforderlichkeit einer DSFA schweigt sich die DSB jedoch aus und hängt diese Beurteilung – lediglich unter Verweis darauf, dass die DSFA-AV und die DSFA-V keine abschließenden Aufzählungen enthalten, sondern nur Verarbeitungsvorgänge anführen, die jedenfalls einer oder keiner DSFA unterliegen – systemkonform der Verantwortlichen um.
Konsequenzen
Der Verantwortlichen wurde aufgetragen, innerhalb einer Frist von acht Wochen
- einen Datenschutzbeauftragten zu bestellen und der Datenschutzbehörde zu melden,
- die Einwilligungserklärung und die Patienten-Datenschutzerklärung unter Berücksichtigung dieser Entscheidung rechtskonform zu gestalten und
- für die genannten Datenverarbeitungen jeweils zu prüfen, ob eine DSFA durchzuführen ist und der Datenschutzbehörde diesbezüglich Meldung zu erstatten.
Trotz der Vielzahl der Verstöße und der offensichtlich ungenügenden Beschäftigung mit den Grundsätzen der DSGVO durch die Verantwortliche verhängte die DSB – nach dem Credo „Verwarnen statt Strafen“ gemäß § 11 DSG – auch bei der hier vorliegenden Vielzahl an Erstverstößen keine Geldstrafe und beließ es bei entsprechenden Aufträgen gemäß Art 58 Abs 2 lit d) DSGVO.
Zusammenfassung
Vieles aus der Entscheidung der DSB, wie der verpflichtende Hinweis auf die Widerrufbarkeit einer Einwilligungserklärung sowie die Notwendigkeit der ausreichenden Transparenz, welche Daten zu welchen Zwecken, auf welcher Rechtsgrundlage wie verarbeitet werden und woher diese Daten stammen, ist bereits ausreichend bekannt. Interessant ist aber die Ansicht der DSB, dass die Verbindung einer Einwilligung in einen einwilligungsfähigen Tatbestand mit einem Tatbestand, der einer (datenschutzrechtlichen) Einwilligung von vorn herein nicht zugänglich ist, die gesamte Einwilligungserklärung datenschutzrechtlich unzulässig macht. Möglicherweise wäre es zielführender, einfach die teilweise Unwirksamkeit der Erklärungen betreffend die nichteinwilligungsfähigen Bereiche anzunehmen, da eine Einwilligung in diesen Bereichen ohnedies unwirksam ist und somit auch keine verbotene Koppelung vorliegen kann.
Erstmals wird aber auch bekannt, dass die DSB tatsächlich gerade Meldungen von Sicherheitsverletzungen zum Anlass nimmt, ein Unternehmen genauer unter die Lupe zu nehmen. Sofern die ungenügende Umsetzung der Vorgaben der DSGVO bekannt ist, sind Unternehmen daher im Falle einer verpflichtenden Meldung an die DSB gut beraten, umgehend zumindest die größten Baustellen zu beheben; insbesondere, wenn es sich um Unternehmen handelt, die mit besonderen Kategorien von personenbezogenen Daten zu tun haben und Sicherheitsverletzungen und Verletzungen der Geheimhaltung naturgemäß noch gravierender sein können.
[/lindepaywall]
In einer kürzlich veröffentlichten Entscheidung der Datenschutzbehörde gegen eine Tagesklinik wurden gleich mehrfache Verstöße gegen die DSGVO festgestellt. In vielen Fällen wurde zwar nur bereits Bekanntes bestätigt, jedoch gibt die Entscheidung auch Aufschluss über die Arbeitsweise der DSB und stellt in einigen Bereichen bisherige kleinere Unschärfen klar.
[lindepaywall tokens=“dsaktuell-media“]
Amtswegige Prüfung wegen Sicherheitsverletzung
Die Datenschutzbehörde („DSB“) hat zwei Meldungen der Verantwortlichen, einer Allergie-Tagesklinik, über eine Sicherheitsverletzung nach Art 33 DSGVO zum Anlass genommen, sich das betreffende Unternehmen genauer anzusehen und ein amtswegiges Prüfungsverfahren einzuleiten (DSB-D213.692/0001-DSB/2018). Hauptauslöser war, dass in den Meldungen nur ein „Datenschutz-Koordinator“ genannt wurde, jedoch kein Datenschutzbeauftragter bestellt war. Die DSB forderte daher – offenbar unter vorheriger Internetrecherche über die Website und die dort vorhandene Datenschutzerklärung – gemäß § 22 Abs 1 DSG das Verarbeitungsverzeichnis, die Patienten-Datenschutzerklärung sowie die Datenschutzfolgenabschätzungen („DSFA“) an und ersuchte die Verantwortliche um Aufklärung über diverse Punkte, wie die Begründung, warum kein Datenschutzbeauftragter bestellt wurde, welche Daten nicht direkt bei den Betroffenen erhoben werden, warum kein Cookie-Hinweis gesetzt wurde, welche Datensicherheitsmaßnahmen bestehen, die Speicherdauer, den Speicherort (lokal/Cloud) sowie um Bekanntgabe allfälliger Auftragsverarbeiter und Übermittlungsempfänger.
Dies bestätigt die bisherige weit verbreitete Vermutung, dass die DSB insbesondere dann amtswegig tätig wird, wenn gewisse Sachverhalte – wie Sicherheitsverletzungen – an sie herangetragen werden und bestimmte Umstände in diesem Zusammenhang Anlass zu Zweifel geben, ob die Datenverarbeitung bei diesem Unternehmen (zumindest weitgehend) DSGVO-konform ist. Dann prüft die DSB auch andere DSGVO-Umsetzungsmaßnahmen ab, die zumindest in jedem Unternehmen bestehen sollten und deren Nichteinhaltung von der DSB bereits vermutet wurden.
Die Verstöße
Die DSB stellte in Ihrer Entscheidung eine Vielzahl an Verstößen fest:
Zu einigen Aspekten der Verstöße im Detail
Kein Datenschutzbeauftragter bestellt
Als Allergie-Tagesklinik verarbeitet die Verantwortliche unstrittig besondere Kategorien personenbezogener Daten iSd Art 9 DSGVO. Da die Kerntätigkeit der Verantwortlichen gerade die Diagnostik und die Behandlung von Allergien ist, kommt die Behörde hier unter Verweis auf die Leitlinien zum Datenschutzbeauftragten (WP 243) und zur Datenschutz-Folgenabschätzung (WP 248) der Art 29-Datenschutzgruppe zum Schluss, dass diese Kerntätigkeit auch eine umfangreiche Verarbeitung iSd Art 37 Abs 1 lit c) DSGVO von besonderen Kategorien personenbezogener Daten begründet und daher ein Datenschutzbeauftragter zu bestellen ist.
Gesetzwidrige Einwilligung
Die Verantwortliche verknüpfte in der von Patienten zwingend abzugebenden Erklärung die Einwilligung nach Art 9 Abs 1 lit a) DSGVO mit der Zustimmung zum unverschlüsselten Versand von Befunden als auch mit der Zustimmung zur Heranziehung von Dienstleistern. Sowohl die Heranziehung von Dienstleistern bzw. Auftragsverarbeitern als auch die verschlüsselte bzw. unverschlüsselte Übermittlung von Dokumenten (als Datensicherheitsmaßnahme) sind aber Fragen, die ausschließlich von der Verantwortlichen zu beurteilen und daher einer Einwilligung grundsätzlich nicht zugänglich sind. Die Bindung der eigentlichen Einwilligung nach Art 9 Abs 1 lit a) DSGVO an diese Umstände führt somit zur Unzulässigkeit der gesamten Einwilligungserklärung, da diese Umstände für die Erfüllung des Vertrages nicht erforderlich sind (Kopplungsverbot nach Art 7 Abs 4 DSGVO).
Unterlassung der Prüfung der Notwendigkeit von DSFA
Die Verantwortliche betreibt ua die Verarbeitungstätigkeiten „Patientenakten (Adress-, Rechnungs- und Meldedaten)“, „Abrechnung (Abrechnung mit der Sozialversicherung)“, „Befundanforderung/Befundübermittlung (Übermittlung und Offenlegung)“, “Untersuchung von Proben (Untersuchung und Versand von Proben [Blut, Sekret etc.])“, „Verwaltung von Rezepten (Speicherung, welche Rezepte Patienten benötigen)“ und “Hausapotheke (Betrieb, Verwaltung, Abrechnung und Organisation der Hausapotheke)“. In diesen werden sämtliche der Verantwortlichen bekannten Gesundheitsdaten verwaltet, offengelegt und übermittelt, was zumindest die Prüfung der Notwendigkeit einer DSFA erforderlich macht. Das Argument der Verantwortlichen, dass nach dem Ausnahmetatbestand des § 1 DSFA-V iVm DSFA-A12 grundsätzlich keine DSFA erforderlich wäre, da es sich um eine Patientenverwaltung durch Ärzte handelt, lässt die DSB nicht gelten, da sich diese Ausnahme nur auf Patientenverwaltungen bezieht, die von einzelnen Ärzten geführt werden.
Hinsichtlich der tatsächlichen Erforderlichkeit einer DSFA schweigt sich die DSB jedoch aus und hängt diese Beurteilung – lediglich unter Verweis darauf, dass die DSFA-AV und die DSFA-V keine abschließenden Aufzählungen enthalten, sondern nur Verarbeitungsvorgänge anführen, die jedenfalls einer oder keiner DSFA unterliegen – systemkonform der Verantwortlichen um.
Konsequenzen
Der Verantwortlichen wurde aufgetragen, innerhalb einer Frist von acht Wochen
Trotz der Vielzahl der Verstöße und der offensichtlich ungenügenden Beschäftigung mit den Grundsätzen der DSGVO durch die Verantwortliche verhängte die DSB – nach dem Credo „Verwarnen statt Strafen“ gemäß § 11 DSG – auch bei der hier vorliegenden Vielzahl an Erstverstößen keine Geldstrafe und beließ es bei entsprechenden Aufträgen gemäß Art 58 Abs 2 lit d) DSGVO.
Zusammenfassung
Vieles aus der Entscheidung der DSB, wie der verpflichtende Hinweis auf die Widerrufbarkeit einer Einwilligungserklärung sowie die Notwendigkeit der ausreichenden Transparenz, welche Daten zu welchen Zwecken, auf welcher Rechtsgrundlage wie verarbeitet werden und woher diese Daten stammen, ist bereits ausreichend bekannt. Interessant ist aber die Ansicht der DSB, dass die Verbindung einer Einwilligung in einen einwilligungsfähigen Tatbestand mit einem Tatbestand, der einer (datenschutzrechtlichen) Einwilligung von vorn herein nicht zugänglich ist, die gesamte Einwilligungserklärung datenschutzrechtlich unzulässig macht. Möglicherweise wäre es zielführender, einfach die teilweise Unwirksamkeit der Erklärungen betreffend die nichteinwilligungsfähigen Bereiche anzunehmen, da eine Einwilligung in diesen Bereichen ohnedies unwirksam ist und somit auch keine verbotene Koppelung vorliegen kann.
Erstmals wird aber auch bekannt, dass die DSB tatsächlich gerade Meldungen von Sicherheitsverletzungen zum Anlass nimmt, ein Unternehmen genauer unter die Lupe zu nehmen. Sofern die ungenügende Umsetzung der Vorgaben der DSGVO bekannt ist, sind Unternehmen daher im Falle einer verpflichtenden Meldung an die DSB gut beraten, umgehend zumindest die größten Baustellen zu beheben; insbesondere, wenn es sich um Unternehmen handelt, die mit besonderen Kategorien von personenbezogenen Daten zu tun haben und Sicherheitsverletzungen und Verletzungen der Geheimhaltung naturgemäß noch gravierender sein können.
[/lindepaywall]