Geldstrafe von EUR 10.000,-- gegen einen Arzt, der eine medizinische Diagnose veröffentlicht hat

Im aktuellen Newsletter der Datenschutzbehörde (4/2023)wird über einen inhaltlich rechtskräftigen Bescheid berichtet, bei dem nur mehr die Höhe der Strafe fraglich (weil bekämpft) ist.

Thema war, dass von einem Arzt medizinische Daten einer Person als Reaktion auf eine Google Rezension veröffentlicht wurden. 

D550.747 (2023-0.420.407), Straferkenntnis, unrechtmäßige Veröffentlichung von Gesundheitsdaten in Beantwortung auf Google-Rezension, Höhe nicht rechtskräftig.

Die Datenschutzbehörde hat mit Straferkenntnis vom 29. Juni 2023 eine Strafe in Höhe von EUR 10.000,- verhängt.

Der Beschuldigte (= Verantwortliche aus datenschutzrechtlicher Hinsicht) ist Facharzt für Gynäkologie und Geburtshilfe und betreibt eine Kassenordination.

Die Betroffene verfasste nach einem Arztbesuch unter ihrem Klarnamen eine Google-Rezension. Der Arzt reagierte mit öffentlicher Antwort darauf und erwähnte darin die Diagnose der Betroffenen.

Die Datenschutzbehörde sah darin eine Verletzung der DSGVO, insbes. da der Verantwortliche sich auf keinen Rechtsgrund (rechtliche Grundlage) iSd Art 9 (2) DSGVO für die Verarbeitung (Veröffentlichung) der Gesundheitsdaten stützen konnte.

Die Veröffentlichung der personenbezogenen Daten der Betroffenen erfolgte entgegen den Verarbeitungsgrundsätzen gemäß Art. 5 Abs. 1 lit. a, b und c DSGVO und verstieß der Beschuldigte durch die Veröffentlichung der Gesundheitsdaten der Betroffenen gegen Art. 9 DSGVO, da im vorliegenden Fall keine Ausnahme des Verarbeitungsverbotes besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 2 DSGVO einschlägig war.

Die "subjektive Tatseite" hat die DSB auch betrachtet, und ging von Vorsatz aus. Der Arzt hat die Diagnose "bewusst" veröffentlicht, und daher schloss die DSB, dass die Verarbeitung vorsätzlich vorgenommen wurde. 

Die Art und die Schwere des Verstoßes wurden von der Datenschutzbehörde als hoch eingestuft, weil die Betroffene aufgrund der konkerten Behandlungssituation davon ausgehen konnte, dass ihre Gesundheitsdaten im Arzt-Patientenverhältnis aufgrund des Behandlungsvertrages genutzt werden, jedoch keinesfalls im Internet veröffentlicht werden. . Die Betroffene konnte darauf vertrauen, dass ihre Gesundheitsdaten in Form einer medizinischen Diagnose vom Beschuldigten nicht in weiterer Folge im Internet veröffentlicht werden.

"Die Verhängung einer Geldbuße iHv EUR 10.000,- war im vorliegenden Fall v.a. aus spezialpräventiven Gründen notwendig. Es ergab sich während des Verfahrens vor der Datenschutzbehörde das Bild, dass der Beschuldigte regelmäßig Details der von ihm durchgeführten Untersuchungen in Reaktion auf schlechte Rezensionen erwähnt hat."

Aus dieser Entscheidung ist zu ersehen, dass die Datenschutzbehörde in Österreich auch den "Strafauftrag" sehr ernst nimmt. Die Verwaltungsstrafverfahren gegen Unternehmen sind derzeit nur "ausgesetzt", und werden nach Verkündung der Entscheidung des EuGH im Verfahren "Deutsches Wohnen" C-807/21 am 5.12.2023 (9:30 Uhr) fortgesetzt werden. Wir werden daher in absehbarer Zeit Entscheidungen zu Geldstrafen in Unternehmen in Österreich sehen.