OGH 6Ob138/20t

Spruch:

Der Revision der klagenden Partei wird Folge gegeben. Die Urteile der Vorinstanzen werden aufgehoben und die Rechtssache wird zur neuerlichen Verhandlung und Entscheidung an das Erstgericht zurückverwiesen.

Die Kosten des Rechtsmittelverfahrens sind weitere Verfahrenskosten.

Begründung:

[1] Der Kläger wurde infolge eines Arbeitsunfalls vom 17.  5. 2019 bis zum 19. 5. 2019 in einer Krankenanstalt, deren Träger die Beklagte ist, stationär behandelt. Ihm wurde ein Patientenbrief vom 19. 5. 2019 ausgehändigt. Mit Schreiben vom 18. 6. 2019 ersuchte der Klagevertreter das Spital unter Bezugnahme auf die DSGVO um die kostenlose Übermittlung der gesamten Krankengeschichte an seine E‑Mail-Adresse. Dieses antwortete darauf mit Schreiben vom 28. 6. 2019, dass die Übermittlung der Krankengeschichte von der Einzahlung eines Kostenbeitrags abhänge. Der Kläger zahlte den Kostenbeitrag nicht; die Beklagte übermittelte dem Kläger die Krankengeschichte bis zum Schluss der mündlichen Streitverhandlung erster Instanz nicht.

[2] Der Kläger begehrte, die Beklagte zu verpflichten, ihm kostenlos „die Krankengeschichte“ über seinen stationären Aufenthalt vom 17. 5. 2019 bis zum 19. 5. 2019 sowie allfälliger Nachbehandlungen und Kontrollen herauszugeben. Der Anspruch ergebe sich aus Art 15 Abs 3, Art 12 Abs 5 DSGVO. Er bewertete das Begehren mit 7.000 EUR, weil er beabsichtige, mit Hilfe der Behandlungsunterlagen Schadenersatzansprüche in dieser Höhe aus seinem Unfall geltend zu machen. Ergänzend brachte er vor, er habe lediglich eine (einzige) Kopie verlangt. Es stehe der Beklagten frei, in welcher Form sie diese übermittle.

[3] Die Beklagte hielt dem Klagebegehren entgegen, Art 15 DSGVO gewähre keinen Anspruch auf Herausgabe „der Krankengeschichte“; diese – gemeint: das Original – müsse von der Krankenanstalt aufbewahrt werden. Der Kläger habe gemäß § 17 Abs 4, § 17a Abs 2 lit g WrKAG nur das Recht auf Einsicht in seine Krankengeschichte oder die Herstellung einer Kopie gegen Kostenersatz. Auch nach Art 15 Abs 3 DSGVO müsse ihm die Beklagte bloß eine Kopie zwecks Einsicht in seine verarbeiteten Daten zur Verfügung stellen, sie ihm aber nicht kostenlos überlassen. Für jede weitere Kopie habe er nach Art 15 Abs 3 DSGVO ein angemessenes Entgelt zu zahlen. Art 15 Abs 3 DSGVO solle der betroffenen Person bloß die Prüfung der Rechtmäßigkeit der Datenverarbeitung ermöglichen, nicht hingegen die kostenlosen Beschaffung von Beweismitteln für einen Schadenersatzprozess. Die in § 6 Abs 1 GTelG (Gesundheitstelematikgesetz) für die elektronische Übermittlung von Gesundheitsdaten normierten Voraussetzungen wären bei Übermittlung per E-Mail nicht erfüllt.

[4] Das Erstgericht gab der Klage statt. Es führte zusammengefasst aus, die Regelungen der DSGVO verdrängten das nationale Recht. Der Kläger habe nach Art 15 Abs 3 iVm Art 12 Abs 5 DSGVO einen Anspruch auf eine kostenlose Erstkopie seiner Krankengeschichte. Art 23 Abs 1 lit e DSGVO erlaube hier keine Einschränkung der Betroffenenrechte zum Schutz der finanziellen Interessen im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit, weil es dazu eines volkswirtschaftlich relevanten Ausmaßes bedürfe, das nicht erreicht werde. Auf die Kautelen des § 6 GTelG komme es nicht an, weil das Begehren nicht auf die Übermittlung per E-Mail gerichtet sei.

[5] Das Berufungsgericht änderte das Urteil im klageabweisenden Sinn ab. Es bewertete den Entscheidungsgegenstand mit 5.000 EUR, nicht aber 30.000 EUR übersteigend und ließ die ordentliche Revision zu, weil keine höchstgerichtliche Rechtsprechung zum Recht eines Patienten auf Ausfolgung einer kostenlosen Erstkopie seiner Krankengeschichte nach der DSGVO vorliege.

[6] Rechtlich erörterte es, die von Art 15 Abs 3, Art 12 Abs 5 DSGVO abweichende Kostenersatzpflicht nach dem WrKAG sei von Art 23 Abs 1 lit e DSGVO gedeckt, weil die kostenlose Ausfolgung von Kopien der Krankengeschichte aufgrund des dafür notwendigen Verwaltungsaufwands ein volkswirtschaftlich relevantes Ausmaß annehmen könne, wenn sie „flächendeckend“ verlangt werde. Hingegen falle die Beeinträchtigung der betroffenen Person geringer aus, zumal alle relevanten Grunddaten im Patientenbrief unaufgefordert und unentgeltlich zur Verfügung gestellt würden. Bereits durch die Übergabe des Patientenbriefs sei das Auskunftsrecht nach der DSGVO erfüllt.

[7] Dagegen richtet sich die Revision des Klägers, mit der er die Wiederherstellung der klagestattgebenden Entscheidung des Erstgerichts anstrebt. Hilfsweise wird ein Aufhebungsantrag gestellt.

[8] Die Beklagte beantragt in ihrer Revisionsbeantwortung, die Revision zurückzuweisen, hilfsweise, ihr nicht Folge zu geben.

Rechtliche Beurteilung​

[9] Die Revision ist aus dem vom Berufungsgericht angeführten Grund zulässig, sie ist auch im Sinn des hilfsweise gestellten Aufhebungsantrags berechtigt.

[10] 1. Auslegung des Klagebegehrens

[11] 1.1. Das Klagebegehren ist so zu verstehen, wie es im Zusammenhalt mit der Klagserzählung vom Kläger gemeint ist. Das Gericht hat ein nur versehentlich unrichtig formuliertes Klagebegehren richtig zu fassen (RS0037440 [T4, T5]).

[12] 1.2. Hier ist das Klagebegehren seinem Wortlaut nach auf die kostenlose Herausgabe „der Krankengeschichte“ gerichtet. Aus dem Klagevorbringen, in dem vom „Ausdruck der relevanten Unterlagen“, einer „Datenkopie“, der „ersten Kopie“ und der „Übermittlung in Kopie“ die Rede ist, ergibt sich aber eindeutig, dass der Kläger nicht die Herausgabe der Krankenakte im Original, sondern die Übermittlung einer Kopie in elektronischer oder in Papier-Form anstrebt. Das von der Beklagten auch in dritter Instanz aufrecht erhaltene Vorbringen, dem Klagebegehren stehe die Aufbewahrungspflicht gemäß § 17 Abs 2 Satz 4 und 5 WrKAG entgegen (vgl Neumayr/Resch, Dürfen Zivilgerichte Krankenanstalten zur Übermittlung der Krankengeschichte im Original verpflichten? JBl 2012, 627), geht daher ins Leere.

[13] 2. Zulässigkeit des Rechtswegs und der Revision:

[14] 2.1. Die Zulässigkeit des Rechtswegs ist eine absolute, in jeder Lage des Verfahrens bis zur Rechtskraft der Entscheidung auch von Amts wegen wahrzunehmende Prozessvoraussetzung (RS0046249 [T4]; RS0046861 [T5]).

[15] Die von der Beklagten in der Rekursbeantwortung gerügte Unzulässigkeit des Rechtswegs für Ansprüche nach Art 15 Abs 3 DSGVO liegt hier aber nicht vor.

[16] 2.2. Nach Art 79 Abs 1 DSGVO hat jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Art 77 DSGVO das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

[17] 2.3. In der Lehre werden zur Frage, ob zur Durchsetzung der Betroffenenrechte des Art 15 DSGVO ein gerichtlicher Rechtsbehelf gemäß Art 79 Abs 1 DSGVO offen stehe, unterschiedliche Standpunkte vertreten.

[18] 2.3.1. Diese beziehen sich einerseits auf die Durchsetzung der Auskunft nach Art 15 Abs 1 erster Halbsatz DSGVO, also darüber, ob überhaupt personenbezogene Daten verarbeitet werden (gegen die Durchsetzung gemäß Art 79 Abs 1 DSGVO: Kreße in Sydow, EU‑DSGVO² [2018] Art 79 Rz 15 ff; abwägend Martini in Paal/Pauly, DSGVO/BDSG² [2018] Art 79 DSGVO Rz 22a; für die Eröffnung eines gerichtlichen Rechtsbehelfs: Bergt in Kühling/Buchner, DSGVO/BDSG³ [2020] Art 79 Rz 6, 9; Leupold/Schrems in Knyrim, DatKomm, 16. Lfg [2018] Art 79 Rz 13).

[19] Eine derartige Auskunft begehrt der Kläger hier nicht; dass die Beklagte seine personenbezogenen Daten verarbeitet, ist hier unstrittig.

[20] 2.3.2. Uneinigkeit besteht in der Literatur auch darüber, ob die Informationsrechte der Art 12 bis 15 DSGVO nur dann gemäß Art 79 Abs 1 DSGVO durchgesetzt werden können, wenn die betroffene Person eine verordnungswidrige Datenverarbeitung – und nicht bloß die Verletzung eines Informationsrechts – behauptet.

[21] Diese Frage ist im vorliegenden Fall angesprochen. Art 15 Abs 3 DSGVO macht das Recht auf Zurverfügungstellung einer Kopie der verarbeiteten personenbezogenen Daten nicht von der behaupteten Rechtswidrigkeit der Verarbeitung abhängig. Der Kläger zieht die Rechtmäßigkeit der Datenverarbeitung durch die Beklagte auch gar nicht in Zweifel, sondern begehrt lediglich die Herausgabe einer Kopie.

[22] 2.3.3. Gestützt auf den Wortlaut des Art 79 Abs 1 DSGVO vertritt Kreße, die bloße Verletzung der Informationsrechte könne nicht im Weg eines gerichtlichen Rechtsbehelfs geltend gemacht werden. Die betroffene Person müsse vielmehr behaupten, durch eine „nicht im Einklang mit dieser Verordnung stehende Verarbeitung ihrer personenbezogenen Daten“ in ihren Rechten verletzt zu sein (Kreße in Sydow, EU‑DSGVO² Art 79 Rz 18).

[23] Nach Leupold/Schrems muss die Verarbeitung, aufgrund derer die Informationsrechte entstanden sind, hingegen nicht selbst verordnungswidrig sein, damit der betroffenen Person ein Klagerecht nach Art 79 Abs 1 DSGVO zusteht (Leupold/Schrems in Knyrim, DatKomm, Art 79 DSGVO Rz 14; in diesem Sinn wohl auch Martini in Paal/Pauly, DSGVO/BDSG² Art 79 DSGVO Rz 22). Vielmehr stehe eine Verarbeitung bereits dann nicht im Einklang mit der DSGVO, wenn die Rechte der betroffenen Person auf Information und Auskunft verletzt würden (Bergt in Kühling/Buchner, DSGVO/BDSG³ Art 79 DSGVO Rz 9; vgl Leupold/Schrems in Knyrim, DatKomm, Art 79 Rz 14).

[24] 2.3.4. Für die zweite, an der Effektivität der Rechtsdurchsetzung orientierte Auslegung sprechen nach Ansicht des Senats auch systematische Erwägungen: Nach dem Wortlaut des Art 77 Abs 1 DSGVO setzt auch das Recht auf Beschwerde bei einer Aufsichtsbehörde voraus, dass die betroffene Person die Ansicht vertritt, die Verarbeitung der sie betreffenden personenbezogenen Daten verstoße gegen die DSGVO.

[25] Verlangte man – jeweils gestützt auf den Wortlaut der Bestimmungen – zur Durchsetzung des Rechts auf eine Kopie der verarbeiteten personenbezogenen Daten nach Art 15 Abs 3 DSGVO sowohl nach Art 77 Abs 1 DSGVO als auch nach Art 79 Abs 1 DSGVO die Behauptung einer gegen die Verordnung verstoßenden bzw nicht mit ihr im Einklang stehenden Verarbeitung, so wäre das Recht auf Zurverfügungstellung einer Kopie nach Art 15 Abs 3 DSGVO bei (behaupteter Maßen) rechtmäßig verarbeiteten Daten weder von Art 77 Abs 1 noch von Art 79 Abs 1 DSGVO erfasst. Dies hätte einen dem Unionsgesetzgeber nicht zu unterstellenden lückenhaften Rechtsschutz nach dem System der DSGVO zur Folge.

[26] 2.4. Der erkennende Fachsenat schließt sich daher jener Ansicht an, die die Zulässigkeit eines gerichtlichen Rechtsbehelfs nach Art 79 Abs 1 DSGVO auch für die Geltendmachung des Rechts auf Zurverfügungstellung einer Kopie nach Art 15 Abs 3 DSGVO bejaht, und zwar unabhängig davon, ob der Kläger eine Verletzung der DSGVO durch die erfolgte Datenverarbeitung behauptet oder nicht.

[27] 2.5. Bei einer Verletzung im Grundrecht auf Datenschutz steht der Eingriff in die höchstpersönliche Rechtssphäre im Vordergrund, auch wenn Rechtsfolge einer Verletzung des Grundrechts ein geldwerter Schadenersatzanspruch sein kann (6 Ob 127/20z; 6 Ob 134/20d). Aufgrund dieser Erwägung hat der Fachsenat bereits zu einer auf Auskunftserteilung nach Art 15 Abs 1 DSGVO gerichteten Klage die Notwendigkeit eines Bewertungsausspruchs nach § 500 Abs 2 Z 1 ZPO verneint (6 Ob 127/20z). Für die Geltendmachung des Anspruchs auf eine Datenkopie nach Art 15 Abs 3 DSGVO kann nichts anderes gelten.

[28] Im vorliegenden Fall kommt es daher auf den Umstand, dass die Beklagte zur Übermittlung einer Kopie der Krankengeschichte des Klägers gegen Zahlung von 51,10 EUR bereit ist, ebenso wenig an wie auf den vom Berufungsgericht vorgenommenen Bewertungsausspruch.

[29] 3. Berechtigung des Klagebegehrens

[30] 3.1. Nach § 17a Abs 2 lit g WrKAG hat der Patient das Recht auf Einsicht in die Krankengeschichte bzw auf Herstellung einer Kopie der Krankengeschichte gegen Kostenersatz.

[31] 3.2. Nach der Rechtsprechung des Gerichtshofs der Europäischen Union ist das nationale Gericht, das im Rahmen seiner Zuständigkeit die Bestimmungen des Unionsrechts anzuwenden hat, gehalten, für die volle Wirksamkeit dieser Normen Sorge zu tragen, indem es erforderlichenfalls jede entgegenstehende Bestimmung des nationalen Rechts aus eigener Entscheidungsbefugnis unangewendet lässt (RS0109951 [T3]).

[32] Gestützt auf diese Rechtsprechung beurteilten die Vorinstanzen den Anspruch des Klägers nach den Bestimmungen der DSGVO.

[33] 3.3. Die Parteien ziehen die Qualifikation der Beklagten als Verantwortliche und des Klägers als betroffene Person im Sinn der Art 15, Art 4 Z 1, 7 DSGVO nicht in Zweifel. Die Beklagte vertritt jedoch den Standpunkt, Art 15 Abs 3 DSGVO sei auf den geltend gemachten Anspruch nicht anzuwenden – und könne daher § 17a Abs 2 lit g WrKAG nicht vorgehen –, weil das Recht auf „Herstellung einer Kopie der Krankengeschichte“ gemäß § 17a Abs 2 lit g WrKAG mit dem Anspruch nach Art 15 Abs 3 DSGVO nicht deckungsgleich sei. Dies folge daraus, dass die Krankengeschichte den gesamten in § 17 Abs 1 WrKAG vorgesehenen Inhalt haben müsse, der über eine Kopie der personenbezogenen Daten nach Art 15 Abs 3 DSGVO hinaus gehe.

[34] Dieser Argumentation kann nicht gefolgt werden.

[35] 4.1. Nach Art 15 Abs 3 DSGVO ist eine Kopie der personenbezogenen Daten zur Verfügung zu stellen, die Gegenstand der Verarbeitung sind. Personenbezogene Daten sind nach Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei als identifizierbar eine Person angesehen wird, die direkt oder indirekt identifiziert werden kann.

[36] 4.2. Wie bereits die Vorinstanzen ausführten, geht der Verordnungsgesetzgeber ausdrücklich davon aus, dass das Auskunftsrecht der betroffenen Person auch ihre eigenen gesundheitsbezogenen Daten, wie etwa Daten in den Patientenakten, Diagnosen, Untersuchungsergebnisse, Befunde der nachbehandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen umfasst (DSGVO ErwGr 63).

[37] 4.3. Dass die Herstellung von Kopien der Krankengeschichte ein Anwendungsfall des Art 15 Abs 3 DSGVO ist, erkannte auch der österreichische Bundesgesetzgeber (vgl ErläutRV 108 BlgNR 26. GP  61 zu § 10 Abs 1 Z 4a KAKuG). Dies wird auch in der Literatur zwanglos so gesehen (Kopetzki, Krankenanstaltenrecht, in Holoubek/Potacs, Öffentliches Wirtschaftsrecht⁴ [2019] 535).

[38] 4.4. Die Beklagte führt nicht konkret aus, welche der gemäß § 17 Abs 1 WrKAG in der Krankengeschichte zu dokumentierenden Umstände sie nicht als auf den Kläger bezogene Daten ansieht. Dies ist auch nicht ersichtlich. Wären in der Krankengeschichte Daten enthalten, die sich nicht auf den Kläger beziehen, wäre es an der Beklagten gelegen, dies vorzubringen. Dies hätte jedoch nicht schlechthin die Klageabweisung zur Folge. Vielmehr bestünde in einem solchen Fall ein Anspruch der betroffenen Person auf Zurverfügungstellung einer Teilkopie, die bloß die personenbezogenen Daten enthält oder in der die übrigen Daten unkenntlich gemacht sind (vgl Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 41).

[39] 4.5. Die Kopie hat vollständig zu sein (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 41). Die Aushändigung des Patientenbriefs ist daher nicht ausreichend.

[40] 5.1. Nach Art 15 Abs 3 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung; für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen.

[41] Nach Art 12 Abs 5 DSGVO werden „alle Mitteilungen und Maßnahmen gemäß den Art 15 bis 22 und 34 DSGVO“ unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden (Art 12 Abs 5 lit a DSGVO), oder sich weigern, aufgrund des Antrags tätig zu werden (Art 12 Abs 5 lit b DSGVO). Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen (Art 12 Abs 5 letzter Satz DSGVO).

[42] 5.2. Aus diesen Bestimmungen wird abgeleitet, dass die erste Kopie der personenbezogenen Daten für die betroffene Person kostenfrei ist (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 45; Dix in Simitis/Hornung/Spiecker, Datenschutzrecht [2019] Art 12 DSGVO Rz 30, Art 15 Rz 30; Ehmann in Ehmann/Selmayr, DS-GVO² [2018] Art 15 Rz 28; Paal in Paal/Pauly, DSGVO/BDSG² Art 15 DSGVO Rz 34 f; Franck in Gola, DS‑GVO² [2018] Art 15 Rz 32; Stollhoff in Auernhammer, DSGVO/BDSG6 [2018] Art 15 Rz 30; Specht in Sydow, EU‑DSGVO² Art 15 Rz 20; Diregger, Handbuch Datenschutzrecht [2018] 733; Souhrada-Kirchmayer, Das Auskunftsrecht nach der Datenschutz-Grundverordnung, Jahrbuch Datenschutzrecht 2017, 75, 80).

[43] 5.3. Als Zwischenergebnis ist daher festzuhalten, dass sich aus Art 15 Abs 3, Art 12 Abs 5 DSGVO grundsätzlich das Recht des Patienten auf Zurverfügungstellung einer Kopie seiner Krankengeschichte ergibt, wobei die erste Kopie kostenlos zur Verfügung zu stellen ist.

[44] 6.1. Einschränkungen der in Art 15 DSGVO eingeräumten Betroffenenrechte müssen, soweit sie über den – hier nicht relevanten – Art 15 Abs 4 DSGVO hinaus gehen, den Anforderungen des Art 23 DSGVO genügen (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, Art 15 DSGVO Rz 36). Dies gilt auch für die Einschränkung der Unentgeltlichkeit.

[45] 6.2. Im vorliegenden Fall ist daher zu beurteilen, ob das Recht auf Zurverfügungstellung einer kostenlosen Erstkopie der Krankengeschichte durch § 17a Abs 2 lit g WrKAG in einer nach Art 23 DSGVO zulässigen Weise eingeschränkt wird, oder ob die Entgeltregel des § 17a Abs 2 lit g WrKAG als der DSGVO entgegenstehendes nationales Recht unangewendet zu bleiben hat.

[46] 6.3. Hier ist zunächst darauf zu verweisen, dass der Bundesgesetzgeber mit dem 2. Materien-Datenschutz-Anpassungsgesetz 2018 (BGBl I 37/2018) die Grundsatzbestimmung des § 10 Abs 1 Z 4a KAKuG zwecks Anpassung an Art 15 Abs 3 DSGVO (ErläutRV 108 BlgNr 26. GP  61) im Hinblick auf die Kostenersatzpflicht für Abschriften aus der Krankengeschichte novellierte. Nach der geltenden Fassung des § 10 Abs 1 Z 4a KAKuG sind die Krankenanstalten durch die Landesgesetzgebung zu verpflichten, Pfleglingen Einsicht in ihre Krankengeschichte zu gewähren und „nach Maßgabe des Art 15 Abs 3 DSGVO“ die Herstellung von Kopien zu ermöglichen. Die davor bestehende Regelung, wonach die Herstellung von Kopien „gegen Kostenersatz“ zu ermöglichen sei, wurde abgeändert. Der Bundesgesetzgeber trägt damit den Bedenken, die aus Art 15 Abs 3 DSGVO gegen eine Kostenersatzpflicht abzuleiten sind, Rechnung, verpflichtet die Länder aber auch nicht schlechthin, in der Ausführungsgesetzgebung Unentgeltlichkeit vorzusehen.

[47] 6.4. In der Literatur folgert Kopetzki aus Art 15 Abs 3 DSGVO, den Pfleglingen einer Krankenanstalt sei die erste Kopie der Krankengeschichte unentgeltlich auszufolgen (Kopetzki in Holoubek/Potacs, Öffentliches Wirtschaftsrecht⁴ 535).

[48] Jahnel vertritt zur vergleichbaren Bestimmung des § 51 Abs 1 letzter Satz ÄrzteG, nach der der Arzt verpflichtet ist, dem Patienten Einsicht in die Dokumentation zu gewähren oder gegen Kostenersatz die Herstellung von Abschriften zu ermöglichen, die Möglichkeit eines Kostenersatzes stehe im Widerspruch zum unmittelbar anwendbaren Art 12 Abs 5 DSGVO (Jahnel, Auswirkungen der DSGVO im medizinischen Bereich, RdM 2019/123, 248, 258).

[49] Ob die Kostentragungsregeln auf die Öffnungsklausel des Art 23 DSGVO gestützt werden könnten, wird von beiden Autoren nicht angesprochen.

[50] 6.5. Hingegen erwägt Haidinger – allerdings ohne abschließende Stellungnahme –, die in den Krankenanstaltengesetzen der Länder vorgesehene Kostenersatzpflicht für Abschriften aus der Patientenakte könnte auf Art 23 Abs 1 lit e DSGVO gestützt werden (Haidinger in Knyrim, DatKomm Art 16, 17 DSGVO Rz 60; dies, Darf ein Krankenhaus nach der DSGVO einen Kostenersatz für Auskunftsanträge verlangen?, DaKo 2018/18, 21).

[51] 6.6. Die Rechtslage in Deutschland weist eine vergleichbare Konfliktlage zwischen der Unentgeltlichkeit gemäß Art 15 Abs 3, Art 12 Abs 5 DSGVO und dem nationalen Recht auf. Nach § 630g Abs 2 BGB kann der Patient (auch elektronische) Abschriften der Patientenakte verlangen; er hat dafür dem Behandelnden die entstandenen Kosten zu erstatten.

[52] Die Kostentragungspflicht des Patienten wird in der Kommentarliteratur kritisch gesehen: Sie widerspreche Art 12 Abs 5, Art 15 Abs 1 und 3 DSGVO (Wagner in MüKo BGB8 [2020] § 630g BGB Rz 29). Es spreche manches dafür, dass die unionsrechtliche Regelung aufgrund des Anwendungsvorrangs die Kostentragungsregel des § 630g BGB verdränge (Rehborn/Gescher in Erman, BGB16 [2020] § 630g Rz 1; vgl Wagner in MüKo BGB⁸ 630g Rz 4, 6).

[53] Walter/Strobl (Erweiterte Auskunfts- und Einsichtsrechte in Patientenakten, MedR 2018, 472, 477) ziehen die Öffnungsklausel gemäß Art 23 Abs 2 lit i zweiter Fall DSGVO – Schutz der Rechte und Freiheiten anderer Personen – in Betracht, kommen aber nach ausführlicher Abwägung zum Ergebnis, dass die Kostentragungspflicht nach § 630g Abs 2 BGB unanwendbar sei.

[54] 7.1. Im vorliegenden Fall vertrat das Berufungsgericht die Rechtsansicht, die Kostentragungspflicht des Patienten für die Herstellung einer Kopie der Krankengeschichte gemäß § 17a Abs 2 Z 7g WrKAG sei als zulässige Einschränkung der Betroffenenrechte gemäß Art 23 Abs 1 lit e DSGVO zu qualifizieren.

[55] 7.2. Der Revisionswerber hält dieser Beurteilung entgegen, der österreichische Gesetzgeber habe keine Einschränkung der Betroffenenrechte aufgrund einer Rechtsvorschrift vorgenommen; das Berufungsgericht habe den volkswirtschaftlichen Aspekt zu Unrecht als wesentlich angesehen; dies führe zu einer unsachlichen Differenzierung zwischen privaten und öffentlichen Krankenanstalten.

[56] 7.3. Art 23 DSGVO ermöglicht der Union und den Mitgliedstaaten, Ausnahmen von den Betroffenenrechten, so auch den Rechten gemäß Art 15 DSGVO und den Verfahrensbestimmungen des Art 12 DSGVO, zu schaffen oder beizubehalten (Haidinger in Knyrim, DatKomm, Art 23 DSGVO Rz 1).

[57] Die Beschränkung muss im Weg von „Gesetzgebungsmaßnahmen“ erfolgen, den Wesensgehalt der Grundrechte und Grundfreiheiten achten, in einer demokratischen Gesellschaft notwendig und verhältnismäßig sein, eines der taxativ aufgezählten Ziele verfolgen und bestimmten Anforderungen genügen (siehe nur Haidinger in Knyrim, DatKomm, Art 23 DSGVO Rz 7; Peuker in Sydow, EU-DSGVO² Art 23 Rz 1; ua).

[58] 7.4. Als Gesetzgebungsmaßnahme im Sinn dieser Bestimmung gelten nicht nur Gesetze im formellen Sinn, sondern auch solche Rechtsakte, die durch eine für jeden Bürger angemessene und zugängliche Veröffentlichung Außenwirksamkeit erlangt haben, wie etwa nationale Verordnungen von Verwaltungsbehörden (Haidinger in Knyrim, DatKomm, Art 23 DSGVO Rz 8).

[59] 7.5. Die von Art 23 Abs 1 DSGVO verlangte Achtung des Wesensgehalts der Grundrechte und Grundfreiheiten verweist auf den Maßstab der Grundrechtecharta. Mit der Bezugnahme auf deren Wesensgehalt (Art 52 GRC) wird klargestellt, dass die Betroffenenrechte nach Art 12 bis 22 und 34 DSGVO grundrechtskonkretisierenden Charakter haben (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, Art 23 DSGVO Rz 13).

[60] Im vorliegenden Fall ist daher Art 8 GRC über den Schutz personenbezogener Daten zu beachten. Gemäß Art 8 Abs 2 Satz 2 GRC hat jede Person das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.

[61] Eine Regelung, die keine Möglichkeit für den Bürger vorsieht, mittels eines Rechtsbehelfs Zugang zu den ihn betreffenden personenbezogenen Daten zu erlangen oder ihre Berichtigung oder Löschung zu erwirken, verletzt zudem den Wesensgehalt des in Art 47 der Charta verankerten Grundrechts auf wirksamen gerichtlichen Rechtsschutz (EuGH C‑362/14 , EU:C:2015:650, Schrems, Rz 95).

[62] 7.6. Den von Art 23 Abs 1 DSGVO genannten Zielen ist insgesamt zu entnehmen, dass das Anliegen, bestimmten Verantwortlichen den mit der Erfüllung der Betroffenenrechte verbundenen Aufwand zu ersparen, nur dann ein tauglicher Beschränkungszweck sein kann, wenn durch den Aufwand ansonsten eines der Abs 1 genannten Rechtsgüter oder Interessen beeinträchtigt würde (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 23 DSGVO Rz 12).

[63] 7.7. Art 23 Abs 1 lit e DSGVO anerkennt den Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses, insbesondere eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats, (unter anderem) im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit, als legitimes Beschränkungsziel. Der Bereich der öffentlichen Gesundheit und der sozialen Sicherheit wurden gegenüber der Vorgängerbestimmung des Art 13 DS‑RL, der lediglich Währungs- Haushalts- und Steuerangelegenheiten als Fälle wichtiger wirtschaftlicher oder finanzieller Interessen auswies, in Art 23 Abs 1 lit e DSGVO neu aufgenommen (Peuker in Sydow, EU‑DSGVO² Art 23 Rz 27).

[64] Wie sich aus der Qualifikation als „wichtiges“ wirtschaftliches oder finanzielles Interesse ergibt, dürfen die Betroffenenrechte nicht für jedes im öffentlichen Interesse liegende Ziel eingeschränkt werden (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, Art 23 DSGVO Rz 27; Herbst in Auernhammer, DSGVO/BDSG6 Art 23 Rz 15). Es bedarf vielmehr einer Abwägung zwischen dem staatlichen Interesse und dem datenschutzrechtlichen Interesse der betroffenen Person (Paal in Paal/Pauly, DS‑GVO/BDSG² Art 23 Rz 31).

[65] 7.8. Der in Art 23 Abs 1 lit i DSGVO genannte Ziel des Schutzes betroffener und anderer Personen umfasst zwar auch den Schutz des Verantwortlichen (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 23 Rz 32), wirtschaftliche Interessen oder ein hoher Aufwand des Verantwortlichen bei Erfüllung der Betroffenenrechte sind dafür aber in aller Regel nicht ausreichend (Haidinger in Knyrim, DatKomm, Art 23 DSGVO Rz 21; Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, Art 23 DSGVO Rz 32; Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 23 Rz 32; Herbst in Auernhammer, DSGVO/BDSG6 Art 23 Rz 19).

[66] 7.9. Ausnahmen von den unionsrechtlichen Vorgaben zum Datenschutz sind auf das Notwendige zu beschränken (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht [2019] Art 23 Rz 17). Bei der Verhältnismäßigkeitsprüfung ist zu beachten, dass die Beschränkungsregelung erforderlich sein muss, um den Beschränkungszweck zu erreichen und der Nutzen der Beschränkung nicht außer Verhältnis zu den Risiken und Beeinträchtigungen für die betroffenen Personen stehen darf (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 23 DSGVO Rz 58). Die Beschränkung muss das mildeste, am wenigsten in Grundrechte eingreifende Mittel zur Erreichung eines der in Art 23 Abs 1 DSGVO genannten Ziele sein (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, Art 23DSGVO Rz 18).

[67] Zur Konkretisierung sind das beschränkte Betroffenenrecht, der Beschränkungszweck sowie die Modalitäten der Datenverarbeitung bedeutsam (Bäcker in Kühling/Buchner, DSGVO/BDSG³ [2020] Art 23 Rz 58). In der Regel wird die Anwendung der Beschränkungsregel die Möglichkeit einer Beurteilung im Einzelfall erfordern (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 23 Rz 58; Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, Art 23 DSGVO Rz 3). Auch eine Bereichsausnahme, also eine Ausnahme für eine bestimmte Kategorie von Daten und/oder Verantwortlichen, kann aber ausnahmsweise verhältnismäßig sein (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 23 Rz 58).

[68] 7.10. Schließlich sieht Art 23 Abs 2 DSGVO inhaltliche Anforderungen an Beschränkungsregelungen vor, die einerseits den Gegenstand und die Reichweite der Beschränkung möglichst präzise umschreiben (lit a, b, c und e), andererseits (lit d, f, g, h) – als Ausfluss des Verhältnismäßigkeitsgrundsatzes – Schutzmaßnahmen als Kompensation für die Einschränkung der Betroffenenrechte betreffen (Haidinger in Knyrim, DatKomm, Art 23 DSGVO Rz 24 f). Art 23 Abs 2 DSGVO legt aber keinen zwingenden Mindestinhalt einer einschränkenden Regelung vor; ob die angesprochenen Inhalte relevant sind, ergibt sich vielmehr aus der Natur der Einschränkungen (Haidinger in Knyrim, DatKomm, Art 23 DSGVO Rz 24 f).

[69] 8.1. Im vorliegenden Fall erfolgt die Einschränkung der in Art 15 Abs 3, Art 12 Abs 5 DSGVO statuierten Unentgeltlichkeit der Erstkopie im Weg eines Landesgesetzes. Darin ist unzweifelhaft eine Gesetzgebungsmaßnahme im Sinn des Art 23 Abs 1 DSGVO zu sehen.

[70] 8.2. Eine Verletzung des Wesensgehalts der von der DSGVO sowie der GRC gewährleisteten Rechte auf Erhalt einer Datenkopie ergibt sich allein durch die hier in Rede stehende Kostenersatzpflicht nicht. Hier ist beachtlich, dass das Recht auf Erhalt einer Datenkopie nicht ausgeschlossen, sondern nur in seiner Ausübung durch eine am Umfang der Kopien orientierte Entgeltpflicht beschränkt wird.

[71] 8.3. Zu den in Art 23 Abs 1 DSGVO angeführten Beschränkungszielen ist offenkundig, dass § 17a Abs 2 lit g WrKAG darauf abzielt, die wirtschaftliche Belastung von Krankenanstalten durch die Herstellung von Kopien der von ihnen verarbeiteten Daten zu verringern. Dieses Ziel kann nach Ansicht des erkennenden Fachsenats nicht unter Art 23 Abs 1 lit i DSGVO subsumiert werden, weil diese Bestimmung das Bestreben, den Aufwand des Verantwortlichen zu verringern, nicht genügen lässt.

[72] 8.4. Hingegen ist – wie das Berufungsgericht zutreffend erkannte – das Ziel des Art 23 Abs 1 lit e DSGVO berührt. Es liegt nämlich auf der Hand, dass die Einschränkung der von Art 15 Abs 3, Art 12 Abs 5 DSGVO angeordneten Unentgeltlichkeit der Erstkopie der Krankengeschichte im Bereich der von der öffentlichen Hand finanzierten Krankenanstalten den finanziellen Interessen der finanzierenden Gebietskörperschaft dient.

[73] 8.5. Auch wenn § 17a Abs 2 lit g WrKAG eine Bereichsausnahme für bestimmte Gruppen von Verantwortlichen (Krankenanstalten) und bestimmte Daten (die Krankengeschichte) vorsieht, steht das der Verhältnismäßigkeit der Regelung hier nicht entgegen. Eine derartige Ausnahme entspricht vielmehr der Struktur des Art 23 Abs 1 lit e DSGVO, der wichtige finanzielle Interessen betreffend einen bestimmten Bereich, nämlich die öffentliche Gesundheit und soziale Sicherheit, ausdrücklich als Einschränkungsgrund anerkennt.

[74] 8.6. Die in Art 23 Abs 2 DSGVO angesprochenen inhaltlichen Vorgaben ergeben sich hinsichtlich Gegenstand und Reichweite der Beschränkung aus dem eindeutigen Wortlaut des § 17a Abs 2 lit g WrKAG; das verfolgte Ziel (Schutz der finanziellen Interessen der Krankenanstalten) ist aus dem Regelungsgegenstand selbst erkennbar und bedarf daher keiner weiteren Anführung in der Rechtsvorschrift selbst (vgl Haidinger in Knyrim, DatKomm, Art 23 DSGVO Rz 24, Art 15 DSGVO Rz 60).

[75] 8.7. Dass § 17a Abs 2 lit g WrKAG gegenüber der DSGVO die ältere Norm ist, steht einer Qualifikation als nach Art 23 DSGVO zulässigen Einschränkung nicht entgegen, weil Art 23 DSGVO den Mitgliedstaaten auch erlaubt, bestehende Beschränkungen beizubehalten (Paal in Paal/Pauly, DSGVO/BDSG² Art 23 Rz 1; Haidinger in Knyrim, DatKomm Art 23 DSGVO Rz 1).

[76] 8.8. Da hier sohin ein von Art 23 Abs 1 DSGVO anerkanntes Einschränkungsziel – wichtige wirtschaftliche und finanzielle Interessen im Bereich der öffentlichen Gesundheit und sozialen Sicherheit – mit einem grundsätzlich tauglichen Mittel – der Anordnung einer Kostenersatzpflicht für Kopien der Krankengeschichte – verfolgt wird, erweist sich die Abwägung des Gewichts der verfolgten Interessen der Verantwortlichen (der Krankenanstalten) und der in ihren Rechten beschränkten Personen (der Patienten) im Rahmen der Verhältnismäßigkeitsprüfung als entscheidend.

[77] Dabei ist darauf Bedacht zu nehmen, dass die Krankenanstalten gesetzlich zur Verarbeitung personenbezogener Daten ihrer Patienten verpflichtet sind (siehe nur § 17 WrKAG; § 10 Abs 1 KAKuG [Grundsatzbestimmung]). Ebenso ist zu berücksichtigen, dass § 17a Abs 2 lit g WrKAG den Patienten die (bloße) Einsicht in die Krankengeschichte kostenlos ermöglicht.

[78] 8.9. Ob die in § 17a Abs 2 lit g WrKAG vorgesehene Kostenersatzpflicht für die Herstellung der ersten Kopie der Krankengeschichte dem Verhältnismäßigkeitsprinzip entspricht, kann nach den derzeitigen Verfahrensergebnissen allerdings noch nicht abschließend beurteilt werden.

[79] Es besteht nämlich kein Tatsachensubstrat, das eine auch nur annäherungsweise Einschätzung des wirtschaftlichen Gewichts des Aufwands erlaubt, der für die Krankenanstalten mit der Zurverfügungstellung von Abschriften verbundenen ist. So steht weder fest, welcher ungefähre Anteil der Patienten über den Patientenbrief hinaus weitere Kopien aus der Krankengeschichte verlangt, noch, ob die von der Beklagten eingehobenen Kostenbeiträge, wie behauptet, an ihrem tatsächlichen Verwaltungsaufwand orientiert sind; auch sonst wurde mit der Beklagten nicht erörtert, aus welchen Umständen sich eine allfällige relevante wirtschaftliche Belastung ergibt.

[80] Dies macht die Aufhebung der Entscheidungen der Vorinstanzen erforderlich.

[81] Die dargestellten Fragen des wirtschaftlichen Gewichts der Herstellung von Kopien der Krankengeschichten von Patienten sowie der Höhe der von den Patienten zu tragenden Kostenbeiträge werden anhand der dargestellten Grundsätze mit den Parteien zu erörtern sein. Ausgehend davon sind ergänzende Feststellungen zu treffen, die die Durchführung einer Verhältnismäßigkeitsprüfung im Sinn des Art 23 DSGVO erlauben.

[82] 9. Der Kostenvorbehalt gründet sich auf § 52 ZPO.