OLG Innsbruck 4R85/25v

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 10.07.2025
• ECLI: ECLI:AT:OLG0819:2025:00400R00085.25V.0710.000

Kopf

Das Oberlandesgericht Innsbruck als Berufungsgericht hat durch die Senatspräsidentin des Oberlandesgerichts Dr. Prantl als Vorsitzende sowie die Richter des Oberlandesgerichts Mag. Schallhart und Mag. Eppacher als weitere Mitglieder des Senats in der Rechtssache der klagenden Partei Dr. A*, geb. am *, Ärztin, Wohnanschrift gemäß § 75a ZPO geheimgehalten, vertreten durch Blum, Hagen Partner Rechtsanwälte GmbH in 6800 Feldkirch, wider die beklagte Partei B-Betriebsgesellschaft m.b.H., FN **, **gasse **, **, vertreten durch Achammer Mennel Rechtsanwälte OG in 6800 Feldkirch, wegen Auskunft gemäß Art 15 DSGVO, über die Berufung der klagenden Partei gegen das Urteil des Landesgerichts Feldkirch vom 10.4.2025, **-31, in nicht öffentlicher Sitzung zu Recht erkannt und beschlossen:

Spruch

I)Der Berufung wird teilweise Folge gegeben.

1)Die angefochtene Entscheidung wird als Teilurteil bestätigt, welches zu lauten hat:

„Das Klagebegehren des Inhalts, die beklagte Partei sei schuldig, der Klägerin binnen 14 Tagen darüber Auskunft zu geben, 3. wann und 6. auf welche Weise (nur lesend oder auch schreibend?) im Zeitraum ab einschließlich 1.12.2021 „bis zum heutigen Tage“ auf die von der beklagten Partei verarbeiteten gesundheitsbezogenen Daten der klagenden Partei zugegriffen wurde, wird abgewiesen.

Die Kostenentscheidung hinsichtlich der mit Teilurteil erledigten Ansprüche bleibt der Endentscheidung vorbehalten.“

2)Im Übrigen, nämlich hinsichtlich des Klagebegehrens, die beklagte Partei sei schuldig, der klagenden Partei binnen 14 Tagen darüber Auskunft zu geben, 1. wer, 2. in welcher Organisationseinheit (Krankenhaus, Krankenhausabteilung), 4. zu welchem Zweck und 5. auf welche Bestandteile ihres Patientenakts im Zeitraum ab einschließlich 1.12.2021 bis zum heutigen Tage zugegriffen hat, wird die angefochtene Entscheidung aufgehoben und die Rechtssache insofern zur neuerlichen Entscheidung nach allfälliger Verfahrensergänzung an das Erstgericht zurückverwiesen.

II)Die Kosten des Berufungsverfahrens sind weitere Verfahrenskosten.

III)Die ordentliche Revision hinsichtlich des Teilurteils ist nicht zulässig.

Begründung

Entscheidungsgründe:

Die Klägerin, die bis Oktober 2021 bei der Beklagten als Ärztin beschäftigt war, wurde im Dezember 2021 in einem von der Beklagten betriebenen Krankenhaus neurologisch behandelt.

Am 18.9.2023 richtete der frühere rechtsfreundliche Vertreter der Klägerin ein Auskunftsbegehren an die Beklagte, das auszugsweise lautete (teilweise ergänzt aus Beilage A - RS0121557):

„[…] Während meine Mandantin Ende des Jahres 2021 [im Krankenhaus der Beklagten] auf der Abteilung für Neurologie in Behandlung war, spätestens aber nachdem sie dort in Behandlung gewesen war, fanden zahlreiche Zugriffe auf die Patientenakte [der Klägerin] statt, welche zur Durchführung oder Vorbereitung bzw. Nachbereitung von Behandlungen keinesfalls erforderlich waren. […] Aufgrund datenschutzrechtlicher Bestimmungen kommt meiner Mandantin ein Anspruch darauf zu, sämtliche Zugriffe auf ihre Patientenakte mitgeteilt zu bekommen. […]“.

Da bei der Klägerin keine Antwort einging, brachte sie am 3.1.2024 die auf Art 15 DSGVO gestützte Klage ein, mit der sie Auskunft darüber begehrt,

1. wer,

2. in welcher Organisationseinheit (Krankenhaus, Krankenhausabteilung),

3. wann,

4. zu welchem Zweck,

5. auf welche Bestandteile ihres Patientenaktes

6. auf welche Weise (nur lesend oder auch schreibend?)

im Zeitraum ab einschließlich 1.12.2021 „bis zum heutigen Tage“ zugegriffen habe.

Daraufhin richtete die Beklagte am 15.2.2024 ein Schreiben an die Klägerin, das auszugsweise lautete:

„[...] Ihren Antrag auf Auskunft nach Art 15 DSGVO (Eingang Klage) haben wir am 6.2.2024 erhalten. Innert offener Frist nehmen wir Stellung wie folgt:

1. Wir verarbeiten folgende Kategorien von Daten zu Ihrer Person:

Identifikationsdaten

Kontaktdaten

Daten über soziale Verhältnisse

Besondere Kategorien pers. Daten gem. Art 9 DSGVO

Bankverbindungsdaten

Die von Ihnen gespeicherten Daten zu jeder Datenkategorie können Sie der Anlage entnehmen.

2. Rechtliche Grundlage zur Datenverarbeitung

[…]

3. Die Daten werden zu folgenden Zwecken verarbeitet:

Die Verarbeitung Ihrer Daten erfolgt zum Zwecke Ihrer Behandlung sowie deren Verrechnung und Abwicklung. Rechtsgrundlage bildet v.a. § 48 SpG, welcher Träger von Krankenanstalten u.a. dazu verpflichtet, über Aufnahme und Entlassung von Pfleglingen Vormerke zu führen. […]“

Im Nachhang zu diesem Schreiben sandte die Beklagte dem damaligen Vertreter der Klägerin am 23.2.2024 eine Aufstellung zu, aus der die Zugriffe auf den Patientenakt der Klägerin ersichtlich waren (Zugriffsprotokoll).

Im Schreiben vom 6.5.2024 teilte der Vertreter der Klägerin mit, dass das Auskunftsbegehren nach seiner Ansicht überwiegend erfüllt worden sei. Offen seien allerdings nach wie vor die Punkte 4. und 6. Auskunftsfrage.

Am 7.10.2024 übermittelte die Beklagte der nunmehrigen Klagsvertreterin abermals ein Zugriffsprotokoll. In dieser - vom Erstgericht zum Bestandteil der angefochtenen Entscheidung erklärten - Aufstellung sind Zugriffsdaten vom 13.12.2021, 10:35 Uhr bis 30.9.2024, 15:20 Uhr angeführt. Wie bereits das am 23.2.2024 übermittelte Zugriffsprotokoll besteht die Aufstellung aus folgenden Spalten: „Datum“, „C*“, „Unser.vorname“, „D*“, „Aufenthalt.amulanzkz“, „E*“, „idPatient“, „descNoWrap“ und „Aktion“. In fast allen der mehr als 3.300 Zeileneinträgen (diesbezüglich § 267 ZPO) sind der Vor- und Zuname der zugreifenden Person ausgewiesen. In der Spalte „Rolle“ finden sich Hinweise wie „Ambulanz“, „Neurologie Arzt“, „Neurologie Allgemein“, „Neurologie Schreibdienst“, „PMR Therapeuten“, „Pflege i.A.“, „Turnusarzt“, „Verwaltung / Aufnahme“, „Erwachsenenpsychiatrie Arzt“, „Befundumbuchung“, „Neurologie Akut Arzt“, „Klinische Sozialarbeit“, „Pathologie Schreibdienst“, „Radiologie Allgemein“, „Radiologie Arzt“, „GERV u. PSYV Schreibdienst“, „Innere Medizin Schreibdienst“, „Unfallchirurgie Schreibdienst“, „Chirurgie Schreibdienst“, „Unfallchirurgie Arzt“, „Neurologie Akut Schreibdienst“, „Verwaltung“, „VLKH Universalrolle“, „KHME Arzt“, „Gerontopsychiatrie Arzt“ und „Kinder/Jugendheilkunde Schreibd.“.

Beispielsweise lautet der erste Eintrag vom 13.12.2021 wie folgt, wobei die im Zugriffsprotokoll von links nach rechts angeordneten Spalten zur leichteren Lesbarkeit untereinander dargestellt werden:

Datum13.12.2021, 10:35 Uhr

C*[Name der zugreifenden Person]

User.vorname[Vorname der zugreifenden Person]

D*R Ambulanz

Aufenthalt.ambulanzkz

E*[4210014703]

idPatient[600814778]

descNoWrap4210014703, [Name der Klägerin], 2021-12-13 10:32:35.0:

Zudem sind im Protokoll mehrere Zugriffe der Rolle „H:Administrator“ vermerkt, bei denen in der Spalte „Name“ jeweils (nur) „MPA Komm.User VLKH“ (im Folgenden kurz „User“) angeführt ist.

Alle Personen, deren Zugriffe im Zugriffsprotokoll dokumentiert sind, sind Arbeitnehmer:innen der Beklagten.

Am 8.1.2025 bot die Beklagte der Klagsvertreterin an, die Klägerin könne in anwaltlicher Begleitung mit einem Mitarbeiter der IT- Abteilung der Beklagten ein Gespräch führen, bei dem der Klägerin alle offenen Fragen beantwortet würden. Dieses Angebot lehnte die Klägerin mit Schreiben vom 13.1.2025 ab und stellte der Beklagten mehrere Fragen, die auszugsweise lauten:

„[...] Wieso greift beispielsweise eine Pflegerin der Neurologie auf den Befund eines vaginalen Abstriches meiner Mandantin, welcher vom niedergelassenen Gynäkologen meiner Mandantin […] im Jahr 2016 abgenommen wurde? […]

Warum greifen Mitarbeiter auf ein postoperatives Verordnungsblatt vom Jahr 2018 zu? [...]“

Von diesem Sachverhalt ist im Berufungsverfahren auszugehen (§ 498 Abs 1 ZPO).

Die Klägerin brachte zu ihrem auf Art 15 Abs 1 DSGVO gestützten Klagebegehren im wesentlichen vor, sie habe sich im Dezember 2021 in dem von der Beklagten betriebenen Krankenhaus befunden, wo sie neurologisch behandelt worden sei. Im Anschluss daran, nämlich vom 27.12.2021 bis 6.1.2022, sei sie im Krankenhaus einer anderen Anstaltsträgerin psychiatrisch behandelt worden. Seit der neurologischen Behandlung habe sie bemerkt, dass sich ihre ehemaligen Arbeitskolleg:innen ihr gegenüber komisch verhalten würden. All diese Personen, die ein derartiges komisches Verhalten an den Tag gelegt hätten, seien in die neurologische Behandlung der Klägerin vom Dezember 2021 nicht eingebunden gewesen. Die Klägerin hege daher den dringenden Verdacht, dass nicht berechtigte Personen ausschließlich zur Befriedigung ihrer persönlichen Neugier und somit unbefugt in den Patientenakt der Klägerin Einsicht genommen und ihr daraus gewonnenes Wissen anschließend im Kreise der Arbeitskolleg:innen mündlich verbreitet hätten. Eine Rechtfertigung bzw. ein berechtigtes Interesse für diese unbefugte Verarbeitung der Gesundheitsdaten der Klägerin sei nicht vorgelegen. Die Beklagte habe das Auskunftsbegehren nur teilweise beantwortet. Im Zugriffsprotokoll seien mehrfach „User“ erwähnt, die für die Klägerin namentlich nicht zuordenbar seien. Gar keine Antwort habe die Klägerin dazu erhalten, zu welchem Zweck und auf welche Weise auf die Daten zugegriffen worden sei. Die Beklagte bediene sich eines Krankenaktenverwaltungssystems, das diverse Zusatzfunktionen anbiete, die es ermöglichten, sämtliche angeforderten Informationen zu generieren.

Die Beklagte beantragte Klagsabweisung. Ihr Vorbringen war weitgehend auf die Wiedergabe der außergerichtlichen Korrespondenz gerichtet. Zudem brachte sie vor, das Auskunftsersuchen bereits beantwortet zu haben. Auf die Beantwortung der Fragen 4 und 6 habe die Beklagte keinen Anspruch. Dass das Begehren im darüber hinausgehenden Umfang beantwortet worden sei, habe die Klägerin im Schreiben vom 6.5.2024 anerkannt.

Das Erstgericht wies das Klagebegehren auf Basis des eingangs wiedergegebenen Sachverhalts ab. Rechtlich gelangte es mit umfangreicher Begründung zum Ergebnis, die Beklagte habe den Auskunftsanspruch der Klägerin bereits befriedigt. Die Fragen 1 bis 5, habe die Beklagte beantwortet. Die Auskunft darüber, ob auf Dokumente „lesend“ oder „schreibend“ zugegriffen worden sei, sei nach Art 15 DSGVO nicht zu erteilen. Da die Klägerin das Begehren dennoch nicht auf Kosten eingeschränkt habe, sei das Klagebegehren abzuweisen.

Gegen diese Entscheidung richtet sich die aus den Rechtsmittelgründen der Mangelhaftigkeit des Verfahrens sowie der unrichtigen rechtlichen Beurteilung erhobene Berufung der Klägerin mit dem Abänderungsantrag auf Klagsstattgebung. Hilfsweise wird ein Aufhebungsantrag gestellt.

Die Beklagte beantragt, dem Rechtsmittel den Erfolg zu versagen.

Die Berufung, über die gemäß § 480 Abs 1 ZPO in nicht öffentlicher Sitzung entschieden werden kann, ist teilweise berechtigt.

1. Zur Verfahrensrüge

1. 1 Die Klägerin rügt die unterbliebene Einvernahme der von ihr im erstinstanzlichen Verfahren beantragten Zeugen. Hätte das Erstgericht diese Zeugen befragt, wäre es zum Ergebnis gekommen, dass es der Beklagten möglich sei, Auskunft im Sinne des Urteilsbegehrens zu erteilen. Andererseits hätte sich herausgestellt, dass unbefugte Zugriffe auf Patientenakten ein permanentes Problem in den von der Beklagten betriebenen Krankenhäusern darstellten.

1. 2 Richtig ist, dass die unterbliebene Aufnahme von angebotenen Beweisen einen Stoffsammlungsmangel verwirklichen kann. Von einem Stoffsammlungsmangel im Sinn des § 496 Abs 1 Z 2 ZPO ist allerdings nur dann auszugehen, wenn das Unterbleiben einer beantragten Beweisaufnahme die Unrichtigkeit der Entscheidung zum Nachteil der rügenden Partei bewirkt haben könnte, also die beantragte - de facto aber unterbliebene - Beweisaufnahme die abstrakte Möglichkeit zur Erweiterung des Sachverhaltsbilds in eine für die antragstellende Partei in rechtlicher Hinsicht günstigere Richtung impliziert (RS0043049). Die Beurteilung der Frage, ob die Nichtaufnahme eines Beweises diese abstrakte Eignung aufweist, ist wesentlich vom Inhalt des im erstinstanzlichen Verfahrens gestellten Beweisantrags abhängig. Ein Beweisantrag hat nämlich die Tatsache, die bewiesen werden muss, also das Beweisthema, im Einzelnen genau zu bezeichnen (RS0039882).

1.2. 1 Die in der Verfahrensrüge genannten Zeugen wurden (mit einer Ausnahme) von der Klägerin nur in Punkt A. des Klagsvorbringens erwähnt. Die Klägerin erstattete im weiteren Verfahren zwar wiederholt ein Beweisanbot „wie bisher“. Unter anderem war dies in der Tagsatzung vom 21.1.2025 der Fall, in der sie behauptete, dass es der Beklagten mit dem bei ihr in Verwendung stehenden Krankenaktenverwaltungssystem möglich sei, die erforderlichen Informationen generieren zu können, um dem Auskunftsersuchen zu entsprechen. Ein solches „Beweisanbot“ ist nach ständiger Judikatur aber zu unbestimmt und erfüllt daher nicht die Erfordernisse für einen ordnungsgemäßen Beweisantrag (1 Ob 243/99i; RG0000083; RI0100194). Damit ist die Verfahrensrüge nur anhand des im verfahrenseinleitenden Schriftsatz erstatteten Vorbringens zu prüfen.

1.2. 2 Das Erstgericht hielt im Prozessprogramm zwar fest, dass die in der Klage genannten Zeugen zum Beweisthema angeboten worden seien, dass es der Beklagten möglich sei, die angeforderten personenbezogenen Daten und den Verarbeitungszweck mitzuteilen bzw. Auskünfte darüber zu erteilen. Tatsächlich beschäftigte sich das diesem Beweisanbot vorangehende Vorbringen zu Punkt A. aber nicht mit der Frage, ob es der Klägerin möglich wäre, sämtliche Aspekte ihres Auskunftsbegehrens zu beantworten. Damit fehlt es an einem substanziierten Beweisantrag, weswegen die unterbliebene Einvernahme dieser Zeugen bereits aus diesem Grund keine Mangelhaftigkeit des Verfahrens nach sich ziehen kann (§ 275 Abs 1 ZPO; für viele: 3 Ob 236/14y).

1. 3 Darüber hinaus wurden die Zeugen von der Klägerin einerseits zum Beweis dafür angeboten, dass Personen rein zur Befriedigung der persönlichen Neugier auf den Patientenakt der Klägerin zugegriffen hätten sowie andererseits dazu, dass derartige unbefugte Zugriffe in den von der Beklagten betriebenen Krankenhäusern ein permanentes Problem darstellten, das schon von zahlreichen Betroffenen an die zuständige Patientenanwaltschaft herangetragen worden sei.

Mit diesen Ausführungen vermag die Klägerin keinen Verfahrensfehler aufzuzeigen, weil für das gegenständliche Verfahren letztlich nur auf die Verarbeitung der Daten der Klägerin abzustellen ist. Selbst wenn in anderen Fällen Arbeitnehmer:innen der Beklagten unbefugt auf Daten anderer Patient:innen zugegriffen haben sollten, wäre dies für die Beurteilung, in welchem Umfang der Klägerin ein Auskunftsanspruch zusteht und ob bzw inwieweit diesem durch die Beklagte entsprochen wurde, nicht von Relevanz.

1. 4 Ein Zeuge wurde von der Klägerin schließlich auch noch zu Punkt B. des Vorbringens angeboten. Neben Rechtsausführungen brachte die Klägerin in diesem Zusammenhang vor, dass ihr früherer Vertreter das Auskunftsbegehren bereits außergerichtlich per E-Mail an die Beklagte gerichtet habe. Die Beklagte habe darauf aber nicht reagiert, obwohl das E-Mail dort geöffnet worden sei.

Auch dieses Beweisthema ist nicht entscheidungswesentlich. Unstrittigerweise nahm die Beklagte zum Auskunftsbegehren erst im Schreiben vom 15.2.2024 Stellung. Zudem übermittelte sie der Klägerin das Zugriffsprotokoll. Weitere Auskünfte wurden von der Beklagten nicht erteilt. Ob die Beklagte dadurch der in Art 15 DSGVO normierten Auskunftsverpflichtung entsprach, stellt eine Frage der rechtlichen Beurteilung dar, auf die im Folgenden einzugehen ist.

1. 5 Die Verfahrensrüge ist damit nicht berechtigt.

2. Zur Rechtsrüge

2. 1 In der Rechtsrüge argumentiert die Klägerin zusammengefasst, es sei auch anhand des dem Urteil beigeschlossenen Zugriffsprotokolls nicht klar, aus welcher Organisationseinheit, auf welche Dokumente, zu welchem Zweck und auf welche Art (lesend/schreibend) die Zugriffe erfolgt seien. Schließlich könne der namentlich nicht erwähnte „User“ nicht zugeordnet werden. Damit könne die Klägerin nicht prüfen, ob die Datenverarbeitung rechtmäßig erfolgt sei.

Zudem macht die Klägerin sekundäre Feststellungsmängel geltend. Nach ihrer Ansicht hätte das Erstgericht folgende weitere Feststellung treffen müssen:

„Nach den stationären Aufenthalten der Klägerin [in der neurologischen] sowie der [psychiatrischen Krankenanstalt] haben sich die ehemaligen Arbeitskollegen der Klägerin ihr gegenüber merkwürdig verhalten. Die Klägerin hegt den Verdacht, dass dazu nicht berechtigte Personen, welche als Dienstnehmer oder sonst für die Beklagte tätig sind, unbefugte, ungerechtfertigte Einsichtnahmen aus persönlicher Neugier in ihren Patientenakt getätigt haben, wodurch sie sozial stigmatisiert worden ist. Außerdem hegt die Klägerin den dringenden Verdacht, dass die Personen, welche zur Befriedigung ihrer persönlichen Neugier, jedenfalls aber nicht zur Erledigung dienstlicher Aufgaben, Einsicht in ihren Patientenakt genommen haben und das hieraus gewonnene Wissen über die Krankengeschichte bzw. Behandlungsgeschichte der Klägerin sodann im Kreise von Arbeitskollegen mündlich weiterverbreitet haben.“

Hierzu ist zu erwägen:

2. 2 Die Beklagte verarbeitet unstrittigerweise gesundheitsbezogene Daten der Klägerin. Die Klägerin hat daher unter anderem das Recht auf Auskunft und Information über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind (Art 15 Abs 1 lit c DSGVO).

Unter Empfänger ist nach der Legaldefinition nach Art 4 Z 9 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle zu verstehen, der personenbezogene Daten offengelegt werden, und zwar unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht.

Nach Art 15 Abs 3 DSGVO hat der Verantwortliche (über entsprechendes Verlangen) zudem eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Allerdings darf das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art 15 Abs 4 DSGVO).

2. 3 Wie bereits das Erstgericht zutreffend darlegte, begehrt die Klägerin primär keine Auskunft über den Inhalt des von der Beklagten geführten und die Klägerin betreffenden Patientenakts. Vielmehr möchte sie wissen, 1. wer, 2. in welcher Organisationseinheit, 3. wann, 4. zu welchem Zweck, 5. auf welche Bestandteile ihres Patientenaktes und 6. auf welche Weise auf ihre von der Beklagten verarbeitete Daten zugriff.

2. 4 Nach der bereits im erstinstanzlichen Verfahren relevierten Entscheidung des EuGH vom 22.6.2023, C-579/21 (Pankki), ist Art 15 Abs 1 DSGVO dahin auszulegen, dass Informationen, die Abfragen personenbezogener Daten einer Person betreffen und die sich auf den Zeitpunkt und die Zwecke dieser Vorgänge beziehen, dem Auskunftsanspruch nach Art 15 Abs 1 DSGVO unterliegen (C-579/21 Rn 83).

2.4. 1 Klargestellt wurde vom EuGH auch, dass Art 15 Abs 1 DSGVO grundsätzlich kein Auskunftsrecht in Bezug auf Informationen über die Identität von Arbeitnehmern:innen des Verantwortlichen vorsieht, wenn diese die Datenzugriffe unter seiner Aufsicht und im Einklang mit seinen Weisungen ausgeführt haben (C-579/21 Rn 83). Arbeitnehmer:innen des Verantwortlichen gelten somit nicht als „Empfänger“ im Sinne von Art. 15 Abs 1 lit c DSGVO, wenn sie im Rahmen ihrer Tätigkeit zulässiger Weise personenbezogene Daten verarbeiten (C-579/21 Rn 73).

2.4. 2 Eine Ausnahme von diesem Grundsatz besteht nur dann, wenn es der betroffenen Person gelingt, ein besonderes Interesse an der Benennung der konkret zugreifenden Personen darzutun. Ein solches besondere Interesse kann beispielsweise darin liegen, wenn Arbeitnehmer:innen entgegen Art 29 DSGVO und damit unzulässig auf die verarbeiteten personenbezogenen Daten zugreifen. In Fällen derartiger „Mitarbeiterexzesse“ sind Arbeitnehmer:innen nämlich als Empfänger im Sinn des Art 4 Z 9 DSGVO zu beurteilen (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 31).

2.4. 3 Wenn davon auszugehen ist, dass die Benennung der zugreifenden Arbeitnehmer:innen unerlässlich ist, um es der betroffenen Person zu ermöglichen, die ihr durch die DSGVO verliehenen Rechte wirksam wahrzunehmen, ist eine Interessensabwägung mit den Rechten und Freiheiten der Arbeitnehmer immer vorzunehmen. Aus ErwGr 63 ergibt sich nämlich, dass das Recht auf Erteilung einer Auskunft nach Art 15 Abs 1 DSGVO die Rechte und Freiheiten anderer Personen grundsätzlich nicht beeinträchtigen darf (C-579/21 Rn 79; Jahnel, Reichweite des Rechts auf Auskunft, jusIT 2023, 199). Bei der Interessenabwägung sind nach Möglichkeit Modalitäten zu wählen, die die Rechte und Freiheiten anderer Personen nicht verletzen, wobei zu berücksichtigen ist, dass diese Erwägungen nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird (C-579/21 Rn 80).

2.4. 4 Nur unter den unter 2.4.3 genannten Voraussetzungen besteht damit auch eine Verpflichtung zur Bereitstellung einer Kopie eines Zugriffsprotokolls, aus dem sich die Namen der zugreifenden Arbeitnehmer:innen ergibt (C-579/21 Rn 69 und 83).

2. 5 Ausgehend von diesen Grundsätzen zeigt sich, dass die Rechtssache nur teilweise entscheidungsreif ist, wobei die erstinstanzliche Entscheidung in diesem Umfang mit Teilurteil zu bestätigen ist.

2.5. 1 Die Zeitpunkte der Datenzugriffe sind in dem der Klägerin bereits vor Schluss der mündlichen Verhandlung ausgefolgten Zugriffsprotokoll lückenlos, nachvollziehbar und transparent dokumentiert. Die in der Klage gestellte 3. Auskunftsfrage „Wann“ ist damit vollinhaltlich beantwortet. Dass dies nicht der Fall gewesen wäre, wird im Rechtsmittel gar nicht releviert.

2.5. 2 Das Berufungsgericht teilt die Rechtsansicht des Erstgerichts, dass sich aus Art 15 Abs 1 DSGVO keine Auskunftsverpflichtung der Beklagten zur Frage ableiten lässt, ob die Datenzugriffe „lesend oder schreibend“ erfolgten. Der Klägerin steht ein Recht auf Information zu, welche personenbezogenen Daten die Beklagte im Rahmen des die Klägerin betreffenden Patientenakts gespeichert hat. Sollte sie nach Prüfung dieser Unterlagen der Auffassung sein, dass die Daten nachträglich und in unzulässiger sowie unrichtiger Weise verändert worden sein sollten, könnte sie ein entsprechendes Berichtigungs- oder Widerrufsbegehren erheben. Warum die Beklagte in dem hier in Rede stehenden Umfang zur Auskunftserteilung verpflichtet sein sollte, wurde von der Klägerin auch nicht näher erläutert, obwohl die Erstrichterin in der vorbereitenden Tagsatzung mit der Klägerin erörterte, dass Art 15 Abs 1 DSGVO nach ihrer Rechtsansicht keine Rechtsgrundlage für die 6. Auskunftsfrage darstellt. Auch die Ausführungen in der Berufung, die Frage, ob Aktenbestandteile nur „gelesen werden“ oder „schreibend“ bearbeitet wurden, lasse Rückschlüsse zu, ob sensible Gesundheitsdaten der Klägerin unberechtigterweise und ohne Anlass überschrieben worden seien oder ob ohne Anlass in den Krankenakten der Klägerin „gestöbert“ worden sei, vermögen nicht aufzuzeigen, warum der Klägerin ein entsprechendes Auskunftsrecht zukommen sollte.

2. 6 In Bezug auf die darüber hinausgehenden Auskunftsfragen ist hingegen eine Verbreiterung der Entscheidungsgrundlage und damit eine Aufhebung im Sinn des § 496 Abs 1 Z 3 ZPO erforderlich.

2.6. 1 Es steht zwar außer Streit, dass alle Zugriffe durch Arbeitnehmer:innen der Beklagten erfolgten. Dies alleine reicht aber für eine abschließende Beurteilung nicht aus. Dass die Zugriffe entsprechend Art 29 DSGVO und damit (ausschließlich) in Übereinstimmung mit ihren Weisungen erfolgte, wurde von der Beklagten weder behauptet noch in der am 15.2.2024 vorgenommenen Beantwortung des Auskunftsersuchens dargelegt. Dies lässt sich auch nicht aus dem der angefochtenen Entscheidung beigeschlossenen Zugriffsprotokoll ableiten.

Sollte die Beklagte ihren Arbeitnehmer:innen vorgegeben haben, dass sie nur dann auf Patientenakten zugreifen dürfen, wenn dies zum Zwecke der Behandlung oder einer damit in Verbindung stehenden administrativen Tätigkeit erfolgt, dann würden allfällige Zugriffe, die außerhalb dieser Vorgabe vorgenommen worden wären, gegen Art 29 DSGVO verstoßen. Da nach dem bisherigen Verfahren aber offen blieb, ob der Zugriff nach den Weisungen der Beklagten erfolgte, lässt sich letztlich nicht beurteilen, zu welchem Zweck die Zugriffe vorgenommen wurden. Daran vermag auch der allgemeine Hinweis im Schreiben vom 15.2.2024 nichts zu ändern, in dem die Beklagte ausführte, dass die Verarbeitung der Daten zum Zweck der Behandlung der Klägerin sowie deren Verrechnung und Abwicklung erfolgte. Die Klägerin begründete ihr Auskunftsersuchen ja gerade mit dem Verdacht, dass Personen auf ihre Daten zugreifen würden, die sie nicht behandelt hätten.

2.6. 2 Aus dem Zugriffsprotokoll gehen nicht nur die Zeitpunkte, sondern auch weitgehend die Namen der zugreifenden Personen hervor. In Bezug auf die 1. Auskunftsfrage („Wer“) ist deshalb nur mehr auf die mehrfach protokollierten Zugriffe der:des - namentlich nicht konkretisierten - „User“ abzustellen.

Ob der Klägerin diesbezüglich ein Auskunftsanspruch zustehen kann, hängt - wie oben dargelegt - zunächst davon ab, ob diese:r „User“ nach Weisung der Beklagten auf den Patientenakt zugriff.

Sollte dies der Fall gewesen sein, könnte dem Klagebegehren im Umfang der 1. Auskunftsfrage nur dann Berechtigung zukommen, wenn die unter Punkt 2.4.3 behandelte Interessenabwägung zu Gunsten der Klägerin ausschlagen sollte. Für diese Abwägung werden zunächst Feststellungen erforderlich sein, ob und wenn ja, warum die Klägerin der Ansicht ist, dass in unzulässiger Weise auf ihre Daten zugegriffen wurde und ob sich auch „User“, die in der IT-Abteilung tätig sind, ihr gegenüber nach der neurologischen Behandlung „merkwürdig“ verhalten haben. Bislang behauptete die Klägerin pauschal, dass die Personen, die plötzlich ein „merkwürdiges Verhalten“ gezeigt hätten, nicht in die Behandlung eingebunden waren. Inwieweit dies auch auf in der IT-Abteilung tätige „User“ zutreffen sollte, lasst sich dem Vorbringen der Klägerin nicht mit der erforderlichen Klarheit entnehmen.

Sollte auf Basis dieser Feststellungen davon auszugehen sein, dass die Namhaftmachung der:des bislang nicht bekannten „User“ unerlässlich ist, um es der Klägerin zu ermöglichen, die ihr durch die DSGVO verliehenen Rechte wirksam wahrzunehmen, wäre eine Abwägung vorzunehmen, ob dem Informationsbedürfnis der Klägerin oder den Datenschutzrechten der:des „User“ der Vorrang einzuräumen ist.

2.6. 3 Die 2. Auskunftsfrage (Krankenhaus/Krankenhausabteilung) bezieht sich nicht nur auf die:den „User“, sondern auch auf die im Zugriffsprotokoll namentlich erwähnten Personen. Die in der Klage aufgestellte Behauptung, dass die Klägerin in mehreren von der Beklagten betriebenen Krankenhäusern tätig war, wurde von der Beklagten nicht bestritten (§ 267 ZPO). Es ist daher davon auszugehen, dass die Beklagte mehrere Krankenhäuser betreibt.

Dass die 2. Frage nicht dem Auskunftsanspruch unterliegen sollte, wurde von der Beklagten nicht eingewandt. Sie vertritt offenbar gemeinsam mit dem Erstgericht den Standpunkt, über diese Frage ausreichend Auskunft erteilt zu haben. Dieser Standpunkt wird vom Berufungsgericht nicht geteilt. Die Beklagte legte zwar das Zugriffsprotokoll vor. Daraus lassen sich die angefragten Informationen aber nicht ableiten. Zwar findet sich in den meisten Einträgen ein Hinweis auf eine Rolle/Abteilung (zB „Neurologie Arzt“, „Neurologie Schreibdienst“ etc.) Allerdings werden in der Spalte, die einen Hinweis auf die Abteilung geben könnte, immer wieder Begriffe verwendet, die nicht selbsterklärend sind. Hier ist vor allem die Bezeichnung „Befundumbuchung“ zu erwähnen. Zudem fällt auf, dass im Zugriffsprotokoll vor der jeweiligen Rolle der zugreifenden Person (zB „Neurologie Arzt“) immer Kürzel ersichtlich, nämlich „B“, „F“, „R“ aber auch „M“. Es liegt die Vermutung nahe, dass die Kürzel Hinweise auf die Standorte der von der Beklagten betriebenen Krankenhäuser geben könnten. Konkrete Erläuterungen zu den Tabelleneinträgen wie „Befundumbuchung“ oder die verwendeten Kürzel sind aber weder dem Zugriffsprotokoll, noch dem Schreiben der Beklagten vom 15.2.2024 oder ihrem Prozessvorbringen zu entnehmen. In diesem Zusammenhang ist darauf hinzuweisen, dass der Verantwortliche seine Auskunftsverpflichtung nach der Rechtsprechung des EuGH nur dann erfüllt, wenn die Auskunft dem Transparenzgebot entspricht (C-579/21 Rn 59).

Der Inhalt des Zugriffsprotokolls könnte dahin verstanden werden, dass die Klägerin nicht nur im Dezember 2021, sondern auch zu späteren Zeitpunkten in einem der von der Beklagten betriebenen Krankenhäuser behandelt wurde. Ob dies so war, lässt sich den bisherigen Prozessbehauptungen abermals nicht entnehmen. Sollte die Klägerin ab dem Jahr 2022 nicht mehr bei der Beklagten behandelt worden sein, würde sich freilich die Frage stellen, wieso dennoch zahlreiche Personen aus unterschiedlichsten Abteilungen sehr häufig auf die Patientenakte zugegriffen haben.

In Bezug auf die:den „User“ stellt sich die Frage, ob es eine zentrale IT-Administration der Beklagten gibt oder ob jedes von ihr betriebene Krankenhaus über eine eigene IT-Administration verfügt. Eine Interessensabwägung ist zur Beurteilung der 2. Auskunftsfrage in welcher Organisationseinheit nach der Ansicht des Berufungsgerichts dennoch nicht vorzunehmen. Hinsichtlich fast aller Zugriffe sind die Namen der zugreifenden Arbeitnehmer:innen ohnedies schon offen gelegt. In Bezug auf die:den „User“ wird die Beantwortung der 2. Frage im Allgemeinen keine personenbezogenen Daten der zugreifenden Person(en) tangieren (vgl etwa Bergauer in Jahnel, Kommentar zur DSGVO, Art 4 DSGVO Rz 9ff). Dies wäre wohl nur denkbar, wenn es nur eine einzige Person gäbe, deren Zugriffe im Zugriffsprotokoll mit der Kombination „User“ und „IT-Administration“ dokumentiert werden.

Das Erstgericht ist davon ausgegangen, dass es der Klägerin aufgrund des Zugriffsprotokolls und ihrer - als Arbeitnehmerin der Beklagten gewonnenen - Kenntnisse möglich sein müsste, die namentlich genannten Personen den einzelnen Krankenhäusern bzw den dort jeweils existierenden Abteilungen zuzuordnen. Selbst wenn dies der Fall wäre, ist die Beklagte aber zur Auskunft verpflichtet. Artikel 15 DSGVO sieht (im Gegensatz zu Art 13 Abs 4 DSGVO sowie 14 Abs. 5 lit a DSGVO) aber keine Ausnahme von der Verpflichtung zur Auskunftserteilung vor, wenn die betroffene Person bereits über die Informationen verfügt.

Aus all dem folgt, dass die 2. Auskunftsfrage (in welcher Organisationseinheit) noch nicht DSGVO-konform beantwortet wurde.

2.6. 4 Ob die 4. Auskunftsfrage (Zweck der Zugriffe) beantwortet wurde, ist maßgeblich davon abhängig, ob die Zugriffe der Mitarbeiter:innen entsprechend Art 29 DSGVO oder unzulässig bzw entgegen der Weisungen der Beklagten durchgeführt wurden. Dass der Zweck der Zugriffe nach der Judikatur des EuGH vom Auskunftsanspruch nach Art 15 Abs 1 DSGVO umfasst ist, wurde schon dargelegt. Dies war im bisherigen Verfahren auch nicht strittig.

2.6. 5 Auch in Bezug auf die 5. Frage (Bestandteile des Patientenalters) wird nur dann von einer Auskunftsverpflichtung der Beklagten auszugehen sein, wenn die Arbeitnehmer der Beklagten außerhalb des Artikel 29 DSGVO auf die Patientenakte der Klägerin zugriffen. Wie erwähnt sind Arbeitnehmer, die unter Aufsicht und im Einklang mit den Weisungen des Verantwortlichen auf Daten zugreifen, nicht als Empfänger im Sinn des Art 4 Z 9 DSGVO anzusehen.

Sollten unbefugte Zugriffe erfolgt sein, wäre die Sachlage hingegen anders zu beurteilen. Dass der Kerninhalt des Auskunftsrechts gemäß Art 15 DSGVO darin zu sehen ist, dass der Verantwortliche der betroffenen Person den konkreten Inhalt aller über sie verarbeiteten Daten offenzulegen hat, entspricht der Judikatur des EuGH sowie des VwGH (vgl VwGH, 3.8.2023, Ro 2020/04/0015 mwN). Da unbefugt zugreifende Arbeitnehmer:innen als Empfänger zu werten sind, ist auf Basis dieser Judikatur auch die Verpflichtung des Verantwortlichen zu bejahen, Auskunft darüber zu erteilen, auf welche von ihm verarbeiteten personenbezogenen Dateien in unzulässiger Weise zugegriffen wurde.

2. 7 Im weiteren Verfahren wird das Erstgericht mit den Parteien die unter 2.6 behandelten Erwägungen zu erörtern haben.

Die Entscheidung, ob in weiterer Folge die Aufnahme von Personalbeweisen erforderlich ist, obliegt dem Erstgericht.

In der noch anzuberaumenden Verhandlung wird das Erstgericht die Klägerin auch zur Klarstellung aufzufordern haben, ob sich das Klagebegehren („1.12.2021 bis zum heutigen Tag“) auf den Tag der Klagseinbringung, auf den Schluss der mündlichen Verhandlung oder auf einen anderen Tag bezieht. Ohne diese Klarstellung bliebe für die Beklagte unklar, bis zu welchem Zeitpunkt die Klägerin Auskunft über die Zugriffe begehrt.

Sofern von der Klägerin im weiteren Verfahren nichts Gegenteiliges behauptet wird, ist schließlich ohne weiteres davon auszugehen, dass es zwischen dem 1.12.2021 und dem ersten im Zugriffsprotokoll dokumentierten Zugriff (13.12.2021, 10:35 Uhr) keinen Zugriff auf den Patientenakt der Klägerin gab und das Auskunftsbegehren für diesen Zeitraum abschließend beantwortet wurde.

3. Die Kostenentscheidung beruht hinsichtlich des Teilurteils auf § 52 Abs 4 ZPO und hinsichtlich des Aufhebungsbeschlusses auf § 52 Abs 1 Satz 3 ZPO.

4. Eine Bewertung des Entscheidungsgegenstandes hat nach § 500 Abs 2 ZPO nur dann zu erfolgen, wenn der Streitgegenstand einen Geldeswert besitzt. Hier hat eine Bewertung zu unterbleiben, weil es sich nach gefestigter höchstgerichtlicher Rechtsprechung beim Auskunftsbegehren nach der DSGVO um einen höchstpersönlichen Anspruch handelt, der einer Bewertung nicht zugänglich ist (vgl RS0042418 [T12; T17];

5. Da sich das Berufungsgericht auf einschlägige Vorgaben des EuGH stützen konnte, liegen die von § 502 ZPO geforderten Voraussetzungen nicht vor. Damit ist auszusprechen, dass die ordentliche Revision gegen das Teilurteil nicht zulässig ist.