Beauskunftung gem. Art. 15 DS-GVO nur vor Ort?

Beauskunftung gem. Art. 15 DS-GVO nur vor Ort?

Eine betroffene Person sollte gem. Art. 15 DS-GVO ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten.

Wie soll sich ein Verantwortlicher (Klinikkonzern) verhalten, wenn ein Betroffener Auskünfte erhalten möchte, die naturgemäß auch Gesundheitsdaten beeinhalten (können)?

Ein in Südniedersachsen wohnhafte Betroffene hatte von der Muttergesellschaft eines Klinikkonzerns mit Sitz in Hamburg per E-Mail eine schriftliche und kostenfreie Auskunft über die zu seiner Person gespeicherten Daten gemäß Art. 15 DS-GVO und Zusendung der Auskunft in Form einer vollständigen Kopie der personenbezogenen Daten angefordert.  Die Verantwortliche teilte der Betroffenen mit, eine Kopie der vorhandenen Daten könne der Betroffene nur gegen Vorlage seines Personalausweises bei der verantwortlichen Stelle in Hamburg erhalten, da es sich bei den Daten um besonders geschützte Gesundheitsdaten handele, die weder elektronisch noch per Post übermittelt werden dürften. Damit wollte die Verantwortliche ausschließen, dass eine Lücke bei der Übermittlung der Daten oder der Identitätsfeststellung gegen den Konzern verwendet werden könne. Der Postversand möge sicher sein, aber wenn die Gesundheitsdaten auf dem Postwege abhanden kämen, läge eine Datenpanne vor.

Problem der Identitätsfeststellung

Als weiteres Argument gegen die von der Betroffenen begehrten Weg der Beauskunftung führte die Verantwortliche an, dass beim Postversand das Problem der Identitätsfeststellung bestünde. Wer tatsächlicher Absender der bei ihr eingegangenen E-Mail mit dem Antrag auf Auskunft nach Art. 15 DS-GVO sei, könne nicht zweifelsfrei festgestellt
werden.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), dem die Angelegenheit zur Prüfung vorlag ( 27. Tätigkeitsbericht, Seite 95), befand, dass ein elektronisch gestellter Antrag auf Zusendung einer Datenkopie im Sinne von Art. 15 Abs. 3 Satz 1 DS-GVO nicht dadurch erfüllt wird, dass dem Betroffenen die persönliche Aushändigung einer Datenkopie gegen Vorlage des Personalausweises beim mehrere Stunden entfernten Verantwortlichen angeboten wird. Der HmbBfDI wies die Verantwortliche u.a. darauf hin, dass gem. Art. 12 Abs. 1 DS-GVO Auskünfte in „leicht zugänglicher Form“ erteilt werden sollen; Art. 15 Abs. 3 Satz 3 DS-GVO besage, dass bei einem elektronisch gestellten Antrag die begehrten Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen sind.

Auch nach ErwG 63 DS-GVO soll der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde.

HmbBfDI – 27. Tätigkeitsbericht Datenschutz für das Berichtsjahr 2018

 

Letztes Update:28.02.19

  • Fingerabdruck im Personalausweis rechtens

    EuGH: Pflicht zur Aufnahme von Fingerabdrücken im Personalausweis ist zulässig

    Der EuGH hat entschieden, dass die Verpflichtung zur Aufnahme von zwei Fingerabdrücken im Personalausweis mit dem Unionsrecht vereinbar ist, obwohl die zugrunde liegende europäische Verordnung auf einer falschen Rechtsgrundlage beruht. Ein deutscher Staatsbürger hatte sich gegen die Weigerung der Stadt Wiesbaden gewandt, ihm einen neuen Personalausweis ohne Fingerabdrücke auszustellen. Der EuGH stellte fest, dass die

    Mehr erfahren
  • Abfrage des Geburtsdatums beim Online-Shopping nicht immer zulässig

    Mit der Rechtmäßigkeit einer datenschutzrechtlichen Anordnung hat sich das OVG Niedersachsen befasst. Im Ergebnis hat das OVG einer Online-Apotheke untersagt, als verpflichtende Angabe im Bestellprozess stets das Geburtsdatum abzufragen. Die niedersächsische Datenschutzbehörde hatte die Apotheke aufgefordert, unabhängig von der Art des bestellten Medikaments das Geburtsdatum und die Anrede des Bestellers nicht mehr abzufragen. Die Apotheke

    Mehr erfahren
  • Datenschutzbeauftragte: Deutsches Modell bleibt

    Die Institution „Datenschutzbeauftragte“ ist so alt wie das deutsche Datenschutzrecht, auf Bundesebene gibt es sie seit 1977. Viele sehen es als einen großen Erfolg, dass die Datenschutz-Grundverordnung (DS-GVO) die bewährte deutsche Regelung übernommen hat und die Bestellung von Datenschutzbeauftragten seit Wirksamwerden der DS-GVO in der Europäischen Union vorsieht. Mit den Datenschutzbeauftragten stehen Unternehmen (und Behörden)

    Mehr erfahren