Ein Arzt gab Untersuchungsergebnisse ungefragt weiter. Mit Beschluss vom 28. Juni 2017 hat das OLG Karlsruhe (Az.: 1 Rb Ss 540/16) dies als Datenschutzrechtsverstoß gewertet.
Es hat entschieden, dass das in § 4a Abs. 1 Satz 3 BDSG aufgestellte Erfordernis einer schriftlichen datenschutzrechtlichen Einwilligung zur Weitergabe von persönlichen Daten eine Schutz- und Warnfunktion hat. Der zur Einwilligung Aufgeforderte solle nicht übereilt zustimmen müssen, sondern die Chance erhalten, sich seiner Entscheidung und der Auswirkungen bewusst zu werden.
Arzt holt vor Drogenscreening keine Einwilligung zur Datenweitergabe ein
Das Amtsgericht hatte Mitte 2016 einen niedergelassenen Arzt wegen eines vorsätzlichen Verstoßes gegen das Bundesdatenschutzgesetz (BDSG) in zwei Fällen zu einer Geldbuße von EUR 1.000 verurteilt. Grund für die Verurteilung war, dass er im Rahmen eines von einem Arbeitgeber veranlassten Drogenscreening dieses bei dem Arbeitnehmer vornahm und die Ergebnisse an den Arbeitgeber weiterleitete.
Allerdings hatte der Arbeitnehmer lediglich gegenüber seinem Arbeitgeber in die Weitergabe der Untersuchungsergebnisse zugestimmt. Eine schriftliche datenschutzrechtliche Einwilligung zur Untersuchung und der Datenverarbeitung des Arztes erteilte er jedoch nicht.
Datenschutzrechtliche Einwilligung von der ordnungswidrigkeitsrechtlichen zu unterscheiden
Das OLG sah es ähnlich. Durch die Untersuchung und Weitergabe der Ergebnisse ohne vorherige schriftliche Einwilligung verstößt der Arzt gegen § 43 Abs. 2 Nr. 1 BDSG. Denn er erhebt oder verarbeitet vorsätzlich – oder zumindest fahrlässig – unbefugt personenbezogenen Daten, die nicht allgemein zugänglich sind.
Das Gericht betont, dass die datenschutzrechtliche Einwilligung von der rechtfertigenden Einwilligung im ordnungswidrigkeitsrechtlichen Sinne zu unterscheiden ist. Eine restriktive Auslegung sei gerade zwingend. Daher komme eine wirksame datenschutzrechtliche Einwilligung nur dann zustande, wenn der Einwilligende nach den objektiven Umständen imstande ist, die Bedeutung und Tragweite seines Rechtsgutverzichts zu beurteilen.
Zustimmung zur Datenweitergabe umfasst nicht die Zustimmung zur Datenerhebung
Die vom Arbeitnehmer abgegebene schriftliche datenschutzrechtliche Einwilligung im Rahmen der G 25-Untersuchung zur Weitergabe der der personenbezogenen Daten umfasse nicht auch die Zustimmung zur Erhebung und Verarbeitung der Daten. Allerdings sei eine solche schriftliche datenschutzrechtliche Einwilligung erforderlich gewesen, sofern eine andere Form der Einwilligung nicht ausnahmsweise angemessen sei, § 4a Abs. 1 Satz 3 BDSG.
Jedoch ist nach der Ansicht das OLG Karlsruhe meist von einem Erfordernis einer schriftlichen Einwilligung auszugehen. Denn schließlich wohne der Schriftform eine Schutz- und Warnfunktion inne. Im vorliegenden Fall solle der Arbeitnehmer die Chance erhalten, sich seiner Entscheidung bewusst zu werden und diese nicht voreilig zu treffen. Dieser Ausnahmecharakter gebiete daher eine restriktive Auslegung des § 4a Abs. 1 BDSG.
Einhaltung der Datenschutzbestimmungen in Arztpraxen
Ob Arztpraxen unabhängig von der Mitarbeiterzahl zwingend einen Datenschutzbeauftragten im Sinne der DS-GVO benötigen, kommt auf die Art und Weise der Datenverarbeitung an. Jedenfalls ist gerade in Arztpraxen aufgrund des Umgangs mit Gesundheitsdaten angeraten, die datenschutzrechtlichen Bestimmungen genauestens zu prüfen und einzuhalten. Dabei kann es nicht schaden, sich von einem externen Datenschutzberater instruieren zu lassen.
