Beauskunftung gem. Art. 15 DS-GVO nur vor Ort?

Eine betroffene Person sollte gem. Art. 15 DS-GVO ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten.

Wie soll sich ein Verantwortlicher (Klinikkonzern) verhalten, wenn ein Betroffener Auskünfte erhalten möchte, die naturgemäß auch Gesundheitsdaten beeinhalten (können)?

Ein in Südniedersachsen wohnhafte Betroffene hatte von der Muttergesellschaft eines Klinikkonzerns mit Sitz in Hamburg per E-Mail eine schriftliche und kostenfreie Auskunft über die zu seiner Person gespeicherten Daten gemäß Art. 15 DS-GVO und Zusendung der Auskunft in Form einer vollständigen Kopie der personenbezogenen Daten angefordert.  Die Verantwortliche teilte der Betroffenen mit, eine Kopie der vorhandenen Daten könne der Betroffene nur gegen Vorlage seines Personalausweises bei der verantwortlichen Stelle in Hamburg erhalten, da es sich bei den Daten um besonders geschützte Gesundheitsdaten handele, die weder elektronisch noch per Post übermittelt werden dürften. Damit wollte die Verantwortliche ausschließen, dass eine Lücke bei der Übermittlung der Daten oder der Identitätsfeststellung gegen den Konzern verwendet werden könne. Der Postversand möge sicher sein, aber wenn die Gesundheitsdaten auf dem Postwege abhanden kämen, läge eine Datenpanne vor.

Problem der Identitätsfeststellung

Als weiteres Argument gegen die von der Betroffenen begehrten Weg der Beauskunftung führte die Verantwortliche an, dass beim Postversand das Problem der Identitätsfeststellung bestünde. Wer tatsächlicher Absender der bei ihr eingegangenen E-Mail mit dem Antrag auf Auskunft nach Art. 15 DS-GVO sei, könne nicht zweifelsfrei festgestellt
werden.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), dem die Angelegenheit zur Prüfung vorlag ( 27. Tätigkeitsbericht, Seite 95), befand, dass ein elektronisch gestellter Antrag auf Zusendung einer Datenkopie im Sinne von Art. 15 Abs. 3 Satz 1 DS-GVO nicht dadurch erfüllt wird, dass dem Betroffenen die persönliche Aushändigung einer Datenkopie gegen Vorlage des Personalausweises beim mehrere Stunden entfernten Verantwortlichen angeboten wird. Der HmbBfDI wies die Verantwortliche u.a. darauf hin, dass gem. Art. 12 Abs. 1 DS-GVO Auskünfte in „leicht zugänglicher Form“ erteilt werden sollen; Art. 15 Abs. 3 Satz 3 DS-GVO besage, dass bei einem elektronisch gestellten Antrag die begehrten Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen sind.

Auch nach ErwG 63 DS-GVO soll der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde.

HmbBfDI – 27. Tätigkeitsbericht Datenschutz für das Berichtsjahr 2018