GZ: 2021-0.410.237 vom 9. August 2021 (Verfahrenszahl: DSB-D124.4059)
[Anmerkung BearbeiterIn: Namen und Firmen, Rechtsformen und Produktbezeichnungen,
Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie
deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt
und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler
wurden korrigiert.]
B E S C H E I D
S P R U C H
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Mag. Sofia A***
(Beschwerdeführerin) vom 4. Mai 2021 gegen die N*** Österreich AG (Beschwerdegegnerin)
wegen Verletzung im Recht auf Geheimhaltung wie folgt:
- Die Beschwerde wird als unbegründet abgewiesen.
Rechtsgrundlagen: Art. 9, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der
Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl.
Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 6, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des
Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; § 19 4. COVID-19-
Schutzmaßnahmenverordnung (4. COVID-19-SchuMaV), BGBl. II Nr. 58/2021, idF BGBl II
111/2021; §§ 3, 7 Abs. 1 COVID-19-Maßnahmengesetz (COVID-19-MG), BGBl. I Nr. 12/2020
idgF.
B E G R Ü N D U N G
A. Vorbringen der Parteien und Verfahrensgang
1. Mit verfahrenseinleitender Eingabe vom 4. Mai 2021 führte die Beschwerdeführerin
zusammengefasst aus, sie sei am 4. Mai 2021 im N*** Shop in 10*0 Wien aufhältig gewesen
und sei ihr zunächst der Zutritt verweigert worden, weil sie keinen Mund-Nasen-Schutz
getragen habe. Sie habe mitgeteilt, dass sie dies aus gesundheitlichen Gründen nicht könne
und sei sie zur Vorlage eines ärztlichen Attests angehalten worden. Sie habe dem Mitarbeiter
auf ihrem Handy das abfotografierte Attest, welches auch eine Diagnose enthalten habe,
gezeigt und wurde ihr daraufhin der Zutritt gewährt. Der Mitarbeiter habe mitgeteilt, er habe
die Anweisung, sich ärztliche Atteste vorweisen zulassen, zumal im Falle einer Polizeikontrolle
die Beschwerdegegnerin eine Geldstrafe erhalten könne. Die Beschwerdegegnerin sei zur
Erhebung der Gesundheitsdaten nicht berechtigt gewesen und sehe sie sich dadurch im Recht
auf Geheimhaltung als verletzt.
2. Mit Stellungnahme vom 2. Juni 2021 führte die Beschwerdegegnerin im Wesentlichen aus,
sie habe durch das Ersuchen um Vorlage einer ärztlichen Bestätigung sichergehen wollen,
dass eine Befreiung der Tragung eines Mund-Nasen-Schutzes tatsächlich vorliege. Die
Vorlage einer ärztlichen Diagnose sei nicht verlangt worden und auch nicht von Interesse.
Diese Vorgehensweise sei im Einklang mit den geltenden rechtlichen Vorgaben erfolgt,
insbesondere der 4. COVID-19-Schutzmaßnahmenverordnung. Gemäß § 19 dieser
Verordnung habe eine Glaubhaftmachung des Vorliegens einer Befreiung von der Pflicht zur
Tragung eines Mund-Nasen-Schutzes aus gesundheitlichen Gründen gegenüber der
Beschwerdegegnerin als Inhaberin einer Betriebsstätte (N*** Shop) durch Vorlage einer
ärztlichen Bestätigung zu erfolgen. Durch die geforderte und gegenständlich erfolgte
Glaubhaftmachung erfülle die Beschwerdegegnerin diese ihr auferlegte Pflicht iSd § 19 Abs. 3
der genannten Verordnung iVm § 8 Abs. 4 COVID-19-MG; widrigenfalls beginge sie eine
Verwaltungsübertretung. Der Vollständigkeit halber sei auszuführen, dass derartige
Nachweise bloß eingesehen werden und keine Speicherung erfolge und keine Information
hierüber vermerkt werde.
3. Mit Stellungnahme vom 9. Juni 2021 führte die Beschwerdeführerin zusammengefasst aus,
schon die Mitteilung der Tatsache, dass sie nicht in der Lage sei, einen Mund-Nasen-Schutz
zu tragen, stelle ein sensibles personenbezogenes Datum dar. Das Grundrecht auf
Geheimhaltung sei verfassungsrechtlich sowie durch die EU-Datenschutzgrundverordnung
geschützt. Aufgrund des Primates des EU-Rechts habe ein zuwiderlaufendes nationales Recht
wie das Covid-19-Maßnahmengesetz und die Covid-19- Schutzmaßnahmenverordnungen
unbeachtet zu bleiben und dürfe nicht vollzogen werden. Alle mit der Vollziehung betrauten
Organe – seien es öffentlich Bedienstete oder Beliehene wie die Beschwerdegegnerin – haben
diese Normen unangewendet zu lassen; widrigenfalls würden sie sich wegen Verletzung des
Datenschutzes strafbar machen. Die gegenständlichen Daten hätten nicht erhoben werden
dürfen.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin im
Recht auf Geheimhaltung verletzt hat.
C. Sachverhaltsfeststellungen
1. Bei der Beschwerdegegnerin handelt es sich um eine Aktiengesellschaft mit der
Firmenbuchnummer FN *12*4*a.
Beweiswürdigung: Die Feststellungen gründen auf einer amtswegigen Recherche der
Datenschutzbehörde im Firmenbuch.
2. Die Beschwerdeführerin besuchte am 4. Mai 2021 eine Betriebsstätte der
Beschwerdegegnerin in 10*0 Wien. Die Beschwerdeführerin trug keinen Mund-Nasen-Schutz.
Sie wurde daher seitens eines Mitarbeiters der Beschwerdegegnerin aufgefordert, ein
ärztliches Attest vorzulegen um darzulegen, dass sie aus gesundheitlichen Gründen einen
Mund-Nasen-Schutz nicht tragen konnte. Die Beschwerdeführerin zeigte dem Mitarbeiter ihr
diesbezügliches ärztliches Attest – welches auch die Diagnose betreffend die
Beschwerdeführerin beinhaltete – in Form eines Fotos auf ihrem Mobiltelefon.
Beweiswürdigung: Die getroffenen Feststellungen gründen im Wesentlichen auf den
unbestrittenen Ausführungen der Beschwerdeführerin.
D. In rechtlicher Hinsicht folgt daraus:
1. Anzuwendende Rechtsvorschriften
§3 COVID-19-MG lautet samt Überschrift wie folgt (Hervorhebung durch die
Datenschutzbehörde):
Betreten und Befahren von Betriebsstätten und Arbeitsorten sowie Benutzen von
Verkehrsmitteln
§ 3. (1) Beim Auftreten von COVID-19 kann durch Verordnung
1. das Betreten und das Befahren von Betriebsstätten oder nur bestimmten
Betriebsstätten zum Zweck des Erwerbs von Waren oder der Inanspruchnahme von
Dienstleistungen,
2. das Betreten und das Befahren von Arbeitsorten oder nur bestimmten Arbeitsorten
gemäß § 2 Abs. 3 des ArbeitnehmerInnenschutzgesetzes (ASchG) durch Personen,
die dort einer Beschäftigung nachgehen, und
3. das Benutzen von Verkehrsmitteln oder nur bestimmten Verkehrsmitteln
geregelt werden, soweit dies zur Verhinderung der Verbreitung von COVID-19 erforderlich ist.
(2) In einer Verordnung gemäß Abs. 1 kann entsprechend der epidemiologischen Situation
festgelegt werden, in welcher Zahl und zu welcher Zeit oder unter welchen Voraussetzungen
und Auflagen Betriebsstätten oder Arbeitsorte betreten und befahren oder Verkehrsmittel
benutzt werden dürfen. Weiters kann das Betreten und Befahren von Betriebsstätten oder
Arbeitsorten sowie das Benutzen von Verkehrsmitteln untersagt werden, sofern gelindere
Maßnahmen nicht ausreichen.
§ 19 der 4. COVID-19-SchuMaV in der zum beschwerdegegenständlichen Zeitpunkt geltenden
Fassung lauten samt Überschrift wie folgt (Hervorhebung durch die Datenschutzbehörde):
Glaubhaftmachung
§ 19. (1) Das Vorliegen der Voraussetzungen gemäß §§ 2 und 17 ist auf Verlangen
gegenüber
1. Organen des öffentlichen Sicherheitsdienstes,
2. Behörden und Verwaltungsgerichten bei Parteienverkehr und Amtshandlungen sowie
3. Inhabern einer Betriebsstätte oder eines Arbeitsortes sowie Betreibern eines
Verkehrsmittels zur Wahrnehmung ihrer Pflicht gemäß § 8 Abs. 4 COVID-19-MG,
glaubhaft zu machen.
(2) Der Ausnahmegrund, wonach aus gesundheitlichen Gründen das Tragen einer
Atemschutzmaske der Schutzklasse FFP2 (FFP2-Maske) ohne Ausatemventil, oder einer
Maske mit mindestens gleichwertig genormtem Standard oder den Mund- und Nasenbereich
abdeckenden und eng anliegenden mechanischen Schutzvorrichtung oder den Mund- und
Nasenbereich abdeckenden mechanischen Schutzvorrichtung nicht zugemutet werden kann,
sowie das Vorliegen einer Schwangerschaft ist durch eine von einem in Österreich zur
selbstständigen Berufsausübung berechtigten Arzt ausgestellte Bestätigung nachzuweisen.
(3) Wurde das Vorliegen eines Ausnahmegrundes gemäß Abs. 1 Z 3 glaubhaft gemacht,
ist der Inhaber der Betriebsstätte oder des Arbeitsortes sowie der Betreiber eines
Verkehrsmittels seiner Pflicht gemäß § 8 Abs. 4 des COVID-19-MG nachgekommen.
2. Zur Beschwerdegegnerin
Die Beschwerdegegnerin ist als Aktiengesellschaft ein privatrechtliches Unternehmen und -
entgegen dem Vorbringen der Beschwerdeführerin - nicht mit hoheitlichen Aufgaben betraut
oder beliehen.
Sohin handelt es sich bei der Beschwerdegegnerin um einen Verantwortlichen des privaten
Bereichs.
3. Zum Recht auf Geheimhaltung
Nach § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden
personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen
eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen
Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem
Geheimhaltungsanspruch nicht zugänglich sind.
Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des
Rechts auf Geheimhaltung zu berücksichtigen (vgl. den Bescheid der DSB vom 31. Oktober
2018, GZ DSB-D123.076/0003-DSB/2018).
Im gegenständlichen Fall ist der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet, da die
Informationen auf dem ärztlichen Attest der Beschwerdeführerin sich auf diese beziehen.
Überdies handelt es sich zweifelsohne um Gesundheitsdaten iSd Art. 4 Z 15 DSGVO.
Abgesehen kommt es für den Anwendungsbereich des § 1 Abs. 1 DSG nicht auf eine
bestimmte Form der Verarbeitung an (Erkenntnis des Verwaltungsgerichtshofes vom 28.
Februar 2018, Ra 2015/04/0087 mwN).
Beschränkungen des Anspruchs auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG dann
zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen
verwendet werden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO:
Einwilligung) erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung
besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten
gerechtfertigt ist.
Nach Art. 9 Abs. 1 DSGVO ist überdies die Verwendung von Datenkategorien, die ihrer Art
nach besonders schutzwürdig sind, nur unter strengen Voraussetzungen, nämlich nach jenen
des Art. 9 Abs. 2 DSGVO, zulässig. Entsprechend § 9 Abs. 2 lit. i ist eine Verarbeitung
rechtmäßig, wenn sie aus Gründen des öffentlichen Interesses im Bereich der öffentlichen
Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden
Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei
der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage
des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische
Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere
des Berufsgeheimnisses, vorsieht, erforderlich ist.
4. In der Sache
Die Beschwerdegegnerin beruft sich gegenständliche auf § 19 4. 4. COVID-19-SchuMaV iVm
§ 8 Abs. 4 COVID-19-MG.
Es gilt demnach zu prüfen, ob eine qualifizierte gesetzliche Grundlage besteht:
Aus der oben zitierten Bestimmung des § 3 COVID-19-MG geht hervor, dass durch
Verordnung das Betreten von Betriebsstätten geregelt werden kann und entsprechend der
epidemiologischen Situation festgelegt werden kann, unter welchen Voraussetzungen und
Auflagen Betriebsstätten betreten werden dürfen.
Der Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz hat als
zuständiger Bundesminister für das Gesundheitswesen iSd § 7 Abs. 1 COVID-19-MG von
dieser Ermächtigung Gebrauch gemacht und die 4. COVID-19-SchuMaV erlassen, wobei
gegenständlich insbesondere § 19 leg. cit. relevant ist. Nach Abs. 2 ebendieser Bestimmung
ist – wie oben ersichtlich – der Ausnahmegrund, wonach aus gesundheitlichen Gründen das
Tragen einer Atemschutzmaske nicht zugemutet werden kann, durch eine von einem in
Österreich zur selbstständigen Berufsausübung berechtigten Arzt ausgestellte Bestätigung
nachzuweisen.
Die Tragweite und Anwendung von § 19 4. COVID-19-SchuMaV ist jedenfalls klar und präzise
und sind für betroffene Personen aus dem Wortlaut dieser Normen die jeweiligen Folgen
erkennbar (vgl. ErwGr. 41 zweiter Satz DSGVO). Der jeweilige unmittelbar mit der Kontrolle
des ärztlichen Attests befasste Mitarbeiter der Beschwerdegegnerin ist entsprechend § 6. Abs.
1 DSG - unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten - verpflichtet,
personenbezogene Daten, die ihm ausschließlich auf Grund der berufsmäßigen Beschäftigung
anvertraut wurden oder zugänglich gemacht wurden, geheim zu halten. Damit sind
angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der
Beschwerdeführerin vorgesehen.
Die Pflicht zur Erbringung eines Nachweises in Form einer ärztlichen Bestätigung, wonach aus
gesundheitlichen Gründen das Tragen einer Atemschutzmaske nicht zugemutet werden kann,
ist der Verhinderung der Verbreitung von COVID-19 und sohin zur Aufrechterhaltung der
öffentlichen Gesundheit zweckdienlich. Dies, zumal ansonsten jedermann das Vorliegen eines
solchen Grundes behaupten und das Tragen einer Atemschutzmaske verweigern könnte.
Dabei erscheint das Tragen einer Atemschutzmaske in geschlossenen Räumen –
insbesondere im Hinblick auf die zum beschwerdegegenständlichen Zeitpunkt hohen
Neuinfektionsquote – als unerlässliche Maßnahme, um der Ausbreitung von COVID-19
entgegenzuwirken und eine Überlastung des österreichischen Gesundheitssystems bzw.
einen drohenden Zusammenbruch der medizinischen Versorgung oder eine ähnlich gelagerte
Notsituation hintanzuhalten – dies hätte fatale Folge für die gesamte Gesellschaft.
Daher überwiegt dieses wichtige öffentliche Interesse jedenfalls das Interesse der
Beschwerdeführerin, ihre personenbezogenen Gesundheitsdaten nicht bei Betreten einer
Betriebsstätte ohne Mund-Nasen-Schutz offenlegen zu müssen.
Es ist davon auszugehen, dass die den Inhabern einer Betriebsstätte gesetzlich auferlegte
Pflicht zur Kontrolle eines Nachweises über das Vorhandensein einer ärztlichen Bestätigung
gelindeste Mittel war, um die Aufrechterhaltung der öffentlichen Gesundheit bestmöglich zu
gewährleisten. Ein gelinderes Mittel zur Erreichung dieses Ziels erschließt sich gegenständlich
der Datenschutzbehörde nicht.
Das Vorbringen der Beschwerdeführerin, wonach die 4. COVID-19-SchuMaV sowie das
COVID-19-MG aufgrund der verfassungsrechtlich geschützten Rechts auf Geheimhaltung
sowie zuwiderlaufendem EU Recht nicht angewendet werden dürfe, geht ins Leere. Dies
zumal es sich bei der hier relevanten Bestimmung des § 19 Abs. 2 4. COVID-19-SchuMaV um
eine zulässige Beschränkung iSd § 1 Abs. 2 DSG sowie Art. 9 Abs. 2 lit. i DSGVO handelt.
In Zusammenschau all dieser Ausführungen kommt die Datenschutzbehörde zu dem
Ergebnis, dass die gegenständliche Datenverarbeitung auf § 19 Abs. 2 4. COVID-19-SchuMaV
gestützt werden kann und diese das gelindeste Mittel darstellt. Es liegt somit eine rechtmäßige
Datenverarbeitung entsprechend Art. 9 Abs. 2 lit. i DSGVO vor. Es Verletzung im Recht auf
Geheimhaltung der Beschwerdeführerin durch die Beschwerdegegnerin ist nicht gegeben.
Es war daher spruchgemäß zu entscheiden.