Nationale Einschränkung der Betroffenenrechte der DSGVO – Kopie der Krankengeschichte
14.02.2021
Die DSGVO statuiert in den Artikeln 12ff Rechte, die Betroffene gegenüber Datenverarbeitern (=Verantwortlichem) geltend machen können. Dazu gehört das in der Praxis sehr relevante Auskunftsrecht gemäß Artikel 15 DSGVO, nach dem Verantwortliche verpflichtet sind, unter anderem preiszugeben, ob sie Daten des Betroffenen verarbeiten, zu welchem Zweck sie diese verarbeiten, woher sei diese Daten haben und wie lange sie diese Daten voraussichtlich speichern werden. Zudem muss der Verantwortliche eine kostenlose Kopie der verarbeiteten Daten herausgeben. Nur die erste Kopie muss kostenlos sein, für weitere kann ein angemessenes Entgelt verlangt werden. In Artikel 23 DSGVO hat der europäische Gesetzgeber in diesem Zusammenhang eine (von vielen) Öffnungsklausel formuliert, die es den Mitgliedsstaaten erlaubt, die Rechte von Betroffenen nach der DSGVO in gewissen Umfang zu beschneiden, mit anderen Worten: im Rahmen allfälliger nationaler Umsetzungen abweichende Regelungen zu treffen. Eine solche Beschränkung der Betroffenenrechte kann in unzähligen Varianten erfolgen, eine davon wäre es, Verantwortlichen zu ermöglichen, für die erste Kopie im Sinne des Auskunftsrechtes ein angemessenes Entgelt zu verlangen.
Der OGH beschäftigte sich in einem Anlassfall (6 Ob 138/20t vom 17.12.2020) mit der Frage, ob eine nationale Norm, nämlich § 17a Abs 2 lit g Wr KAG, die es (Wiener) Krankenanstalten erlaubt, für eine Kopie der Krankengeschichte ein Entgelt zu verlangen, im Einklang mit Artikel 23 DSGVO stand. § 17a Abs 2 lit g Wr KAG wurde nicht als Reaktion auf die DSGVO eingeführt, sondern bestand schon zuvor. Im Anlassfall hatte der Kläger um die Übermittlung der Krankengeschichte gebeten, die Beklagte, die Krankenanstalt, machte diese Übermittlung von der Zahlung der gesetzlich vorgesehenen Kosten abhängig. Die Klage lautete daher auf (kostenlose) Herausgabe der Krankengeschichte. Das Erstgericht hatte den Herausgabeanspruch auf Basis der Bestimmungen der Datenschutzgrundverordnung bejaht, das Berufungsgericht hatte (infolge der Berufung durch die beklagte Krankenanstalt) diesen Anspruch verneint, und die Klage abgewiesen. Dagegen erhob der Kläger Rechtsmittel an den Obersten Gerichtshof:
Diesbezüglich führte der OGH aus, dass auch Normen, die älter sind als die DSGVO, weiterhin Geltung zukommt, da es den Mitgliedsstaaten durch Artikel 23 DSGVO auch erlaubt sei, bestehende Beschränkungen weiter aufrecht zu erhalten. Es ist also nicht notwendig, dass Einschränkungsnormen als Reaktion auf die DSGVO erlassen (oder nochmals bekräftigt) werden, vielmehr kann im Einzelfall auch nationaler „Altbestand“ als zulässige Beschränkung angesehen werden.
Der OGH prüfte auch die Einschränkung als solche und bejahte deren (grundsätzliche) Zulässigkeit: Artikel 23 DSGVO verlange in Abs 1 für das Beschränken der Betroffenenrechte ein erlaubtes Ziel. Dazu zählen unter anderem die finanziellen Interessen des Gesundheitsbereiches eines Mitgliedsstaates nach Abs 1 lit f) leg cit. § 17a Abs 2 lit g Wr KAG verfolge genau dieses Interesse, da diese Bestimmung die Krankenanstalten vor exzessiven administrativen Aufgaben – nämlich Kopieren von Krankengeschichten – schützt.
Der OGH stellte jedoch auch fest, dass Ausnahmen von den unionsrechtlichen Vorgaben zum Datenschutz auf das Notwendigste zu beschränken sind. Der Nutzen der Beschränkung dürfe nicht außer Verhältnis zu den Risiken und Beeinträchtigungen für die betroffenen Personen stehen, d.h. die Beschränkung müsse das mildeste, am wenigsten in Grundrechte eingreifende Mittel zur Erreichung eines der in Art 23 Abs 1 DSGVO genannten Ziele sein. Die Abwägung des Gewichts der Interessen der Krankenanstalten und der Patienten im Rahmen der Verhältnismäßigkeitsprüfung sei daher entscheidend.
Der OGH konnte aber nicht abschließend beurteilen, ob das Entgelt für die Kopie der Krankengeschichte dem Verhältnismäßigkeitsprinzip entspreche. Es bestehe nämlich kein Tatsachensubstrat, das eine auch nur annäherungsweise Einschätzung des wirtschaftlichen Gewichts des Aufwands erlaube, der für die Krankenanstalten mit der Zurverfügungstellung von Abschriften verbundenen sei, und stehe nicht fest, welcher ungefähre Anteil der Patienten über den Patientenbrief hinaus weitere Kopien aus der Krankengeschichte verlangen würden. Auch stehe nicht fest, ob die von der Beklagten eingehobenen Kostenbeiträge – wie behauptet – an ihrem tatsächlichen Verwaltungsaufwand orientiert waren.
Das Höchstgericht behob daher die beiden ergangenen Urteil ersatzlos, und verwies die Rechtssache wiederum an das Erstgericht zurück. Dieses werde das wirtschaftliche Gewicht der Herstellung von Kopien der Krankengeschichten von Patienten sowie der Höhe der von den Patienten zu tragenden Kostenbeiträge anhand der dargestellten Grundsätze mit den Parteien zu erörtern haben. Ausgehend davon seien ergänzende Feststellungen zu treffen, die die Durchführung einer Verhältnismäßigkeitsprüfung im Sinn des Art 23 DSGVO erlauben. Der Ausgang ist also unklar, und wird von den Verhältnissen im Einzelfall abhängen. Ein unbefriedigender Zwischenstand des Verfahrens.