Terminerinnerung einer Ordination per SMS bedarf ausdrücklicher Patienteneinwilligung

Möchte eine Ordination ein Terminerinnerungssystem verwenden, bedarf sie dazu der ausdrücklichen Einwilligung des Patienten. Wird eine Terminerinnerung im Zuge einer versandten Gruppennachricht auch anderen Personen bekannt, stellt dies ein erhebliches Risiko für die Rechte der betroffenen Person dar, weshalb die Datenschutzbehörde binnen 72 Stunden zu informieren ist.

Terminerinnerung über eine Gruppennachricht
Die Ordinationsassistentin einer Fachärztin für Psychiatrie versandte eine Terminerinnerung im Wege eines Gruppennachrichtendienstes von einem iPhone aus. Die Terminerinnerung enthielt zwar keine Namen, aber die Telefonnummern von 28 Patienten. Das Bundesverwaltungsgericht verwies darauf, dass der Versand von Gruppennachrichten zur Terminerinnerung, sei es per SMS-, E-Mail- oder Messenger-Diensten gegen das Datenschutzrecht verstößt und überdies eine ausdrückliche Zustimmung des Patienten zur Nutzung des Terminerinnerungssystems eingeholt werden muss, da mangels unbedingter Erforderlichkeit für die ärztliche Berufsausübung auch kein Ausnahmetatbestand vom Einwilligungserfordernis zur Nutzung sensibler Gesundheitsdaten vorliegt. Dass die anderen Adressaten nur die Telefonnummer und nicht den Namen des betroffenen Patienten erfahren haben, ändert nichts an der Datenschutzverletzung.

Verpflichtung zur Verständigung der Datenschutzbehörde
Die Offenlegung einer Terminerinnerung bedeutet eine Datenschutzverletzung, die ein Risiko für die Rechte des betroffenen Patienten darstellt, weshalb die Datenschutzbehörde innerhalb von 72 Stunden zu informieren gewesen wäre. Dass die Ordinationsinhaberin diese Pflicht nicht kannte, entlastet sie nicht, weil es ihre Pflicht gewesen wäre, sich mit ihren datenschutzrechtlichen Verpflichtungen vertraut zu machen.

Verwaltungsstrafe von Euro 4000 angemessen
In Hinblick darauf, dass die Ordinationsinhaberin nicht nur der Vorwurf trifft, unzulässigerweise Gesundheitsdaten offengelegt zu haben, sondern sie ihrer Verpflichtung zur Verständigung der Datenschutzbehörde vom Vorfall nicht nachgekommen ist und auch nicht, wie vorgeschrieben, ein Datenverarbeitungsverzeichnis geführt hat, erscheint eine Verwaltungsstrafe von Euro 4000 als angemessen. Dabei wurde bereits mildernd berücksichtigt, dass die Ordinationsinhaberin im Ermittlungsverfahren kooperativ war und die technischen Einstellungen zur Terminerinnerung von Patienten im Laufe des Verfahrens angepasst hat.

BVwG 3.6.2024, W 292 2282284-1
Hon.-Prof. Dr. Felix Wallner

Zurück