Sitzwache in Klinik filmt Demenzpatienten heimlich
Die österreichische Datenschutzbehörde (DSB) hat eine Medizinstudentin wegen einem Patientenvideo zu einer Geldstrafe verurteilt. Die Frau arbeitete als Sitzwache in einer Klinik und filmte dort einen Patienten mit Demenz. Anschließend schickte sie das Video an eine Studienkollegin. Die DSB wertete das als klaren Verstoß gegen die Art. 9 DS-GVO.
Der Fall zeigt, wie schnell aus einer kurzen Handybewegung eine Datenschutzverletzung wird. Und er zeigt, dass auch geringfügig Beschäftigte für den Umgang mit Gesundheitsdaten haften.
Die Beschuldigte war als sogenannte Sitzwache bei einem externen Personaldienstleister angestellt. Ihre Aufgabe bestand darin, bei Patienten zu bleiben, ihre Sicherheit zu gewährleisten und das Pflegepersonal bei Bedarf zu informieren. Am Tag des Vorfalls war sie einem Patienten mit Demenz zugeteilt, der unruhig war. Er warf immer wieder Gegenstände weg, die sie ihm brachte.
In dieser Situation filmte die Studentin den Patienten mit ihrem Mobiltelefon. Das Video zeigt ihn im Krankenhaushemd im Flur, wie er eine Zeitung hält und zu Boden wirft. Die Aufnahme dauert etwa elf Sekunden. Am Ende ist die Studentin selbst zu sehen, wie sie sich die Hand vor den Mund hält und schnauft. Sie schickte das Video über einen Messenger-Dienst an eine Kollegin, um ihr das Verhalten des Patienten zu zeigen.
Die DSB stufte die Studentin als Verantwortliche im Sinne des Art. 4 DS-GVO ein, weil sie selbst entschieden hatte, das Video aufzunehmen und weiterzugeben. Aus Kontext, Kleidung und Verhalten des Patienten ließ sich eindeutig auf seinen Gesundheitszustand schließen. Damit fiel die Aufnahme unter die besonderen Datenkategorien nach Art. 4 DS-GVO, für die das strengere Regelungsregime des Art. 9 DS-GVO gilt.
Die Studentin hatte keine Rechtsgrundlage für die Verarbeitung. Ein berechtigtes Interesse nach Art. 6 DS-GVO kam nicht infrage, weil Art. 9 DS-GVO die Verarbeitung von Gesundheitsdaten auf die dort genannten Ausnahmen beschränkt. Ein wissenschaftliches Interesse konnte die Studentin nicht glaubhaft machen. Die DSB sah stattdessen den Zweck darin, sich mit der Kollegin über das Video auszutauschen und sich darüber zu belustigen. Damit fehlte auch ein legitimer Zweck nach Art. 5 DS-GVO.
Die DSB ging von Vorsatz aus. Die Studentin hatte selbst erklärt, dass ihr die Rechtswidrigkeit der Aufnahme bewusst war. Als erschwerend wertete die Behörde den Missbrauch der Aufsichtspflicht. Als mildernd zählten das Geständnis, die Reue und die Mitwirkung im Verfahren. Die Studentin hatte keine einschlägigen Vorstrafen und ein monatliches Einkommen von rund 290 Euro.
Am Ende verhängte die DSB ein Bußgeld von 200 Euro, zuzüglich 20 Euro Verfahrenskosten. Ersatzweise wären 12 Stunden Freiheitsstrafe fällig geworden. Die DSB begründete die Höhe mit dem Strafrahmen nach Art. 83 DS-GVO, der theoretisch bis zu 20 Millionen Euro reicht. Wegen des Ersttäterstatus und der geringen finanziellen Mittel der Beschuldigten setzte die Behörde die Strafe an das untere Ende des Rahmens.
Unsere Empfehlungen
Gesundheitseinrichtungen
Kliniken und Pflegeeinrichtungen sollten allen Beschäftigten, auch Aushilfen und Sitzwachen, klar sagen, dass private Handyaufnahmen von Patienten verboten sind. Eine schriftliche Anweisung und eine kurze Schulung zu Beginn des Einsatzes senken das Risiko. Wichtig ist auch, dass externe Personaldienstleister ihre Mitarbeiter vor dem ersten Einsatz auf diese Regeln hinweisen und das dokumentieren.
Unternehmen/KMU
Wer Personal über Dienstleister einsetzt, etwa in der Pflege, im Sicherheitsdienst oder im Facility Management, sollte vertraglich festlegen, wer für die Schulung zum Umgang mit sensiblen Daten verantwortlich ist. Eine klare BYOD-Regelung, die private Handys am Arbeitsplatz einschränkt, verhindert viele Vorfälle dieser Art von vornherein.
Behörden und öffentliche Stellen
Öffentliche Krankenhäuser und Pflegeeinrichtungen sollten den Umgang mit Bild- und Videoaufnahmen von Patienten in ihren Datenschutzkonzepten verankern und regelmäßig überprüfen. Der behördliche Datenschutzbeauftragte sollte in die Einweisung neuer Mitarbeiter und externer Kräfte eingebunden sein.
Quelle: Datenschutzbehörde (DSB), Österreich
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks