GZ: 2021-0.410.237 vom 9. August 2021 (Verfahrenszahl: DSB-D124.4059)
[Anmerkung BearbeiterIn: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Mag. Sofia A*** (Beschwerdeführerin) vom 4. Mai 2021 gegen die N*** Österreich AG (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt:
- Die Beschwerde wird als unbegründet abgewiesen .
Rechtsgrundlagen : Art. 9, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 6, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; § 19 4. COVID-19-Schutzmaßnahmenverordnung (4. COVID-19-SchuMaV), BGBl. II Nr. 58/2021, idF BGBl II 111/2021; §§ 3, 7 Abs. 1 COVID-19-Maßnahmengesetz (COVID-19-MG), BGBl. I Nr. 12/2020 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit verfahrenseinleitender Eingabe vom 4. Mai 2021 führte die Beschwerdeführerin zusammengefasst aus, sie sei am 4. Mai 2021 im N*** Shop in 10*0 Wien aufhältig gewesen und sei ihr zunächst der Zutritt verweigert worden, weil sie keinen Mund-Nasen-Schutz getragen habe. Sie habe mitgeteilt, dass sie dies aus gesundheitlichen Gründen nicht könne und sei sie zur Vorlage eines ärztlichen Attests angehalten worden. Sie habe dem Mitarbeiter auf ihrem Handy das abfotografierte Attest, welches auch eine Diagnose enthalten habe, gezeigt und wurde ihr daraufhin der Zutritt gewährt. Der Mitarbeiter habe mitgeteilt, er habe die Anweisung, sich ärztliche Atteste vorweisen zulassen, zumal im Falle einer Polizeikontrolle die Beschwerdegegnerin eine Geldstrafe erhalten könne. Die Beschwerdegegnerin sei zur Erhebung der Gesundheitsdaten nicht berechtigt gewesen und sehe sie sich dadurch im Recht auf Geheimhaltung als verletzt.
2. Mit Stellungnahme vom 2. Juni 2021 führte die Beschwerdegegnerin im Wesentlichen aus, sie habe durch das Ersuchen um Vorlage einer ärztlichen Bestätigung sichergehen wollen, dass eine Befreiung der Tragung eines Mund-Nasen-Schutzes tatsächlich vorliege. Die Vorlage einer ärztlichen Diagnose sei nicht verlangt worden und auch nicht von Interesse. Diese Vorgehensweise sei im Einklang mit den geltenden rechtlichen Vorgaben erfolgt, insbesondere der 4. COVID-19-Schutzmaßnahmenverordnung. Gemäß § 19 dieser Verordnung habe eine Glaubhaftmachung des Vorliegens einer Befreiung von der Pflicht zur Tragung eines Mund-Nasen-Schutzes aus gesundheitlichen Gründen gegenüber der Beschwerdegegnerin als Inhaberin einer Betriebsstätte (N*** Shop) durch Vorlage einer ärztlichen Bestätigung zu erfolgen. Durch die geforderte und gegenständlich erfolgte Glaubhaftmachung erfülle die Beschwerdegegnerin diese ihr auferlegte Pflicht iSd § 19 Abs. 3 der genannten Verordnung iVm § 8 Abs. 4 COVID-19-MG; widrigenfalls beginge sie eine Verwaltungsübertretung. Der Vollständigkeit halber sei auszuführen, dass derartige Nachweise bloß eingesehen werden und keine Speicherung erfolge und keine Information hierüber vermerkt werde.
3. Mit Stellungnahme vom 9. Juni 2021 führte die Beschwerdeführerin zusammengefasst aus, schon die Mitteilung der Tatsache, dass sie nicht in der Lage sei, einen Mund-Nasen-Schutz zu tragen, stelle ein sensibles personenbezogenes Datum dar. Das Grundrecht auf Geheimhaltung sei verfassungsrechtlich sowie durch die EU-Datenschutzgrundverordnung geschützt. Aufgrund des Primates des EU-Rechts habe ein zuwiderlaufendes nationales Recht wie das Covid-19-Maßnahmengesetz und die Covid-19- Schutzmaßnahmenverordnungen unbeachtet zu bleiben und dürfe nicht vollzogen werden. Alle mit der Vollziehung betrauten Organe – seien es öffentlich Bedienstete oder Beliehene wie die Beschwerdegegnerin – haben diese Normen unangewendet zu lassen; widrigenfalls würden sie sich wegen Verletzung des Datenschutzes strafbar machen. Die gegenständlichen Daten hätten nicht erhoben werden dürfen.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin im Recht auf Geheimhaltung verletzt hat.
C. Sachverhaltsfeststellungen
1. Bei der Beschwerdegegnerin handelt es sich um eine Aktiengesellschaft mit der Firmenbuchnummer FN *12*4*a.
Beweiswürdigung : Die Feststellungen gründen auf einer amtswegigen Recherche der Datenschutzbehörde im Firmenbuch.
2. Die Beschwerdeführerin besuchte am 4. Mai 2021 eine Betriebsstätte der Beschwerdegegnerin in 10*0 Wien. Die Beschwerdeführerin trug keinen Mund-Nasen-Schutz. Sie wurde daher seitens eines Mitarbeiters der Beschwerdegegnerin aufgefordert, ein ärztliches Attest vorzulegen um darzulegen, dass sie aus gesundheitlichen Gründen einen Mund-Nasen-Schutz nicht tragen konnte. Die Beschwerdeführerin zeigte dem Mitarbeiter ihr diesbezügliches ärztliches Attest – welches auch die Diagnose betreffend die Beschwerdeführerin beinhaltete – in Form eines Fotos auf ihrem Mobiltelefon.
Beweiswürdigung : Die getroffenen Feststellungen gründen im Wesentlichen auf den unbestrittenen Ausführungen der Beschwerdeführerin.
D. In rechtlicher Hinsicht folgt daraus:
1. Anzuwendende Rechtsvorschriften
§ 3 COVID-19-MG lautet samt Überschrift wie folgt (Hervorhebung durch die Datenschutzbehörde):
(1) Beim Auftreten von COVID-19 kann durch Verordnung
(2) In einer Verordnung gemäß Abs. 1 kann entsprechend der epidemiologischen Situation festgelegt werden, in welcher Zahl und zu welcher Zeit oder unter welchen Voraussetzungen und Auflagen Betriebsstätten oder Arbeitsorte betreten und befahren oder Verkehrsmittel benutzt werden dürfen. Weiters kann das Betreten und Befahren von Betriebsstätten oder Arbeitsorten sowie das Benutzen von Verkehrsmitteln untersagt werden, sofern gelindere Maßnahmen nicht ausreichen.
§ 19 der 4. COVID-19-SchuMaV in der zum beschwerdegegenständlichen Zeitpunkt geltenden Fassung lauten samt Überschrift wie folgt (Hervorhebung durch die Datenschutzbehörde):
(1) Das Vorliegen der Voraussetzungen gemäß §§ 2 und 17 ist auf Verlangen gegenüber
(2) Der Ausnahmegrund , wonach aus gesundheitlichen Gründen das Tragen einer Atemschutzmaske der Schutzklasse FFP2 (FFP2-Maske) ohne Ausatemventil, oder einer Maske mit mindestens gleichwertig genormtem Standard oder den Mund- und Nasenbereich abdeckenden und eng anliegenden mechanischen Schutzvorrichtung oder den Mund- und Nasenbereich abdeckenden mechanischen Schutzvorrichtung nicht zugemutet werden kann , sowie das Vorliegen einer Schwangerschaft ist durch eine von einem in Österreich zur selbstständigen Berufsausübung berechtigten Arzt ausgestellte Bestätigung nachzuweisen .
(3) Wurde das Vorliegen eines Ausnahmegrundes gemäß Abs. 1 Z 3 glaubhaft gemacht, ist der Inhaber der Betriebsstätte oder des Arbeitsortes sowie der Betreiber eines Verkehrsmittels seiner Pflicht gemäß § 8 Abs. 4 des COVID-19-MG nachgekommen.
2. Zur Beschwerdegegnerin
Die Beschwerdegegnerin ist als Aktiengesellschaft ein privatrechtliches Unternehmen und - entgegen dem Vorbringen der Beschwerdeführerin - nicht mit hoheitlichen Aufgaben betraut oder beliehen.
Sohin handelt es sich bei der Beschwerdegegnerin um einen Verantwortlichen des privaten Bereichs .
3. Zum Recht auf Geheimhaltung
Nach § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB D123.076/0003-DSB/2018).
Im gegenständlichen Fall ist der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet, da die Informationen auf dem ärztlichen Attest der Beschwerdeführerin sich auf diese beziehen. Überdies handelt es sich zweifelsohne um Gesundheitsdaten iSd Art. 4 Z 15 DSGVO.
Abgesehen kommt es für den Anwendungsbereich des § 1 Abs. 1 DSG nicht auf eine bestimmte Form der Verarbeitung an (Erkenntnis des Verwaltungsgerichtshofes vom 28. Februar 2018, Ra 2015/04/0087 mwN).
Beschränkungen des Anspruchs auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt ist.
Nach Art. 9 Abs. 1 DSGVO ist überdies die Verwendung von Datenkategorien, die ihrer Art nach besonders schutzwürdig sind, nur unter strengen Voraussetzungen, nämlich nach jenen des Art. 9 Abs. 2 DSGVO , zulässig. Entsprechend § 9 Abs. 2 lit. i ist eine Verarbeitung rechtmäßig, wenn sie aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit , wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats , das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich ist.
4. In der Sache
Die Beschwerdegegnerin beruft sich gegenständliche auf § 19 4. 4. COVID-19-SchuMaV iVm § 8 Abs. 4 COVID-19-MG.
Es gilt demnach zu prüfen, ob eine qualifizierte gesetzliche Grundlage besteht:
Aus der oben zitierten Bestimmung des § 3 COVID-19-MG geht hervor, dass durch Verordnung das Betreten von Betriebsstätten geregelt werden kann und entsprechend der epidemiologischen Situation festgelegt werden kann, unter welchen Voraussetzungen und Auflagen Betriebsstätten betreten werden dürfen.
Der Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz hat als zuständiger Bundesminister für das Gesundheitswesen iSd § 7 Abs. 1 COVID-19-MG von dieser Ermächtigung Gebrauch gemacht und die 4. COVID-19-SchuMaV erlassen, wobei gegenständlich insbesondere § 19 leg. cit. relevant ist. Nach Abs. 2 ebendieser Bestimmung ist – wie oben ersichtlich – der Ausnahmegrund , wonach aus gesundheitlichen Gründen das Tragen einer Atemschutzmaske nicht zugemutet werden kann, durch eine von einem in Österreich zur selbstständigen Berufsausübung berechtigten Arzt ausgestellte Bestätigung nachzuweisen .
Die Tragweite und Anwendung von § 19 4. COVID-19-SchuMaV ist jedenfalls klar und präzise und sind für betroffene Personen aus dem Wortlaut dieser Normen die jeweiligen Folgen erkennbar (vgl. ErwGr. 41 zweiter Satz DSGVO). Der jeweilige unmittelbar mit der Kontrolle des ärztlichen Attests befasste Mitarbeiter der Beschwerdegegnerin ist entsprechend § 6. Abs. 1 DSG - unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten - verpflichtet, personenbezogene Daten, die ihm ausschließlich auf Grund der berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich gemacht wurden, geheim zu halten. Damit sind angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der Beschwerdeführerin vorgesehen.
Die Pflicht zur Erbringung eines Nachweises in Form einer ärztlichen Bestätigung, wonach aus gesundheitlichen Gründen das Tragen einer Atemschutzmaske nicht zugemutet werden kann, ist der Verhinderung der Verbreitung von COVID-19 und sohin zur Aufrechterhaltung der öffentlichen Gesundheit zweckdienlich. Dies, zumal ansonsten jedermann das Vorliegen eines solchen Grundes behaupten und das Tragen einer Atemschutzmaske verweigern könnte. Dabei erscheint das Tragen einer Atemschutzmaske in geschlossenen Räumen – insbesondere im Hinblick auf die zum beschwerdegegenständlichen Zeitpunkt hohen Neuinfektionsquote – als unerlässliche Maßnahme, um der Ausbreitung von COVID-19 entgegenzuwirken und eine Überlastung des österreichischen Gesundheitssystems bzw. einen drohenden Zusammenbruch der medizinischen Versorgung oder eine ähnlich gelagerte Notsituation hintanzuhalten – dies hätte fatale Folge für die gesamte Gesellschaft.
Daher überwiegt dieses wichtige öffentliche Interesse jedenfalls das Interesse der Beschwerdeführerin, ihre personenbezogenen Gesundheitsdaten nicht bei Betreten einer Betriebsstätte ohne Mund-Nasen-Schutz offenlegen zu müssen.
Es ist davon auszugehen, dass die den Inhabern einer Betriebsstätte gesetzlich auferlegte Pflicht zur Kontrolle eines Nachweises über das Vorhandensein einer ärztlichen Bestätigung gelindeste Mittel war, um die Aufrechterhaltung der öffentlichen Gesundheit bestmöglich zu gewährleisten. Ein gelinderes Mittel zur Erreichung dieses Ziels erschließt sich gegenständlich der Datenschutzbehörde nicht.
Das Vorbringen der Beschwerdeführerin, wonach die 4. COVID-19-SchuMaV sowie das COVID-19-MG aufgrund der verfassungsrechtlich geschützten Rechts auf Geheimhaltung sowie zuwiderlaufendem EU Recht nicht angewendet werden dürfe, geht ins Leere. Dies zumal es sich bei der hier relevanten Bestimmung des § 19 Abs. 2 4. COVID-19-SchuMaV um eine zulässige Beschränkung iSd § 1 Abs. 2 DSG sowie Art. 9 Abs. 2 lit. i DSGVO handelt.
In Zusammenschau all dieser Ausführungen kommt die Datenschutzbehörde zu dem Ergebnis, dass die gegenständliche Datenverarbeitung auf § 19 Abs. 2 4. COVID-19-SchuMaV gestützt werden kann und diese das gelindeste Mittel darstellt. Es liegt somit eine rechtmäßige Datenverarbeitung entsprechend Art. 9 Abs. 2 lit. i DSGVO vor. Es Verletzung im Recht auf Geheimhaltung der Beschwerdeführerin durch die Beschwerdegegnerin ist nicht gegeben.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
