Videoüberwachung im Operationssaal

Kameras im OP erfassten Patientendaten ohne Rechtsgrundlage

Die österreichische Datenschutzbehörde hat eine Privatklinik mit einer Geldstrafe von 63.800 Euro belegt. Grund war eine Videoüberwachungsanlage in vier Operationssälen, die ohne Rechtsgrundlage lief. Der Fall zeigt, wie schnell Gesundheitseinrichtungen bei Kameraüberwachung gegen die DSGVO verstoßen.

Die Klinik betrieb in jedem Operationssaal eine Kamera. Die Kameras filmten schräg von oben das Operationsmaterial, das OP-Besteck und den Operationstisch. Die Bilder wurden live und dauerhaft übertragen.

Erfasst wurden dabei chirurgische Patient:innen, das gesamte Personal aus OP und Anästhesie, alle an der Operation beteiligten Personen und auch Personen, die den Raum aus anderen Gründen betraten. Eine Information der Patient:innen fand nicht statt. Eine Einwilligung holte die Klinik ebenfalls nicht ein.

Die Klinik begründete die Überwachung mit mehreren Zwecken. Die Kameras sollten während der Operation unterstützen, den Ablauf beobachten und die Nachbetreuung der Patient:innen rechtzeitig sicherstellen. Auch die Planung nachfolgender Operationen sollte dadurch leichter werden. Außerdem wollte die Klinik verhindern, dass während der OP Türen geöffnet werden oder zusätzliche Personen den Saal betreten.

Die Datenschutzbehörde erkannte an, dass ein berechtigtes Interesse die Verarbeitung der Daten von Personen rechtfertigen kann, die keine Patient:innen sind. Für die Gesundheitsdaten der Patient:innen reicht das aber nicht aus. Art. 6 Abs. 1 lit. f DSGVO deckt keine besonderen Kategorien personenbezogener Daten ab. Für Gesundheitsdaten braucht es eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Diese lag nicht vor.

Damit verstieß die Klinik gegen Art. 6 Abs. 1 in Verbindung mit Art. 9 Abs. 2 DSGVO. Hinzu kamen Verstöße gegen Art. 5 Abs. 1 lit. a DSGVO und gegen die Informationspflichten aus Art. 12 und Art. 13 DSGVO.

Unsere Empfehlungen

Gesundheitseinrichtungen

Kameras im OP-Bereich brauchen eine klare Rechtsgrundlage. Wer Patient:innen filmt, braucht deren ausdrückliche Einwilligung. Ein berechtigtes Interesse reicht bei Gesundheitsdaten nicht aus. Kliniken sollten vor der Installation prüfen, wer die Kamera sieht, wie lange die Aufnahmen laufen und wer Zugriff hat. Auch die Informationspflichten aus Art. 12 und 13 DSGVO müssen erfüllt sein, zum Beispiel durch Aushänge oder ein Merkblatt für Patient:innen.

Unternehmen/KMU

Auch außerhalb von Kliniken gilt: Videoüberwachung braucht immer eine Rechtsgrundlage und eine Information der betroffenen Personen. Wer Kameras in sensiblen Bereichen einsetzt, sollte den Zweck genau festlegen und dokumentieren. Eine regelmäßige Prüfung der Kameraeinstellungen hilft, unnötige Datenverarbeitung zu vermeiden.

Quelle: Österreichische Datenschutzbehörde (DSB)

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

• Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
• Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
• Nachweis der Datenlöschung – So dokumentieren Sie korrekt
• Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
• Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
• Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
• Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
• Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft

Dieser Absatz enthält Affiliatelinks/Werbelinks