Rechtssatz
Die Datenschutzbehörde entschied, dass das Teilen eines Forumsbeitrags mit Gesundheitsdaten unter Pseudonym in einem öffentlich zugänglichen Forum das Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO) nicht verletzt, wenn die betroffene Person die Daten bewusst öffentlich gemacht hat.
Sachverhalt
Die Beschwerdeführerin eröffnete auf der öffentlichen Website einer Zeitung ein Forum und veröffentlichte darin unter dem Pseudonym 'HUBERTA" einen Eintrag, in dem sie von ihrer ADHS-Diagnose berichtete.
Der Beschwerdegegner, der ihr Follower war und somit von dem Eintrag erfuhr, leitete diesen Eintrag in einer WhatsApp-Nachricht an eine gemeinsame Bekannte weiter und enthüllte dabei, dass das Pseudonym der Beschwerdeführerin gehörte.
Die Beschwerdeführerin beschwerte sich bei der Datenschutzbehörde und argumentierte, dass ihre Gesundheitsdaten dadurch offengelegt und ihr Recht auf Geheimhaltung verletzt worden sei.
Rechtliche Begründung
Die Behörde stellte zunächst fest, dass der Forumseintrag personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO darstellt, da die Beschwerdeführerin durch das Pseudonym, ergänzt um Geschlecht, Alter und Diagnose, für den Beschwerdegegner identifizierbar war.
Die zentrale Frage war jedoch, ob Art. 9 Abs. 2 lit. e DSGVO anwendbar ist, wonach das Verbot der Verarbeitung besonderer Kategorien von Daten nicht gilt, wenn die betroffene Person diese offensichtlich öffentlich gemacht hat.
Die Behörde folgte der Rechtsprechung und Fachliteratur, die einen unzweideutigen, bewussten Willensakt verlangt.
Sie kam zu dem Ergebnis, dass das aktive Posten eines Eintrags in einem öffentlich zugänglichen Forum, in dem die Person von ihrer Diagnose berichtet, als solcher bewusster Willensakt zu qualifizieren ist. Aus der Perspektive eines verständigen, objektiven Dritten müsse damit gerechnet werden, dass ein öffentlich geposteter Forumsbeitrag einer breiteren Person zugänglich gemacht wird.
Fazit
Die Datenschutzbehörde wies die Beschwerde ab.
Sie folgte der Ansicht, dass wer bewusst Gesundheitsdaten in einem öffentlichen Forum veröffentlicht, diese damit 'offensichtlich" im Sinne des Art. 9 Abs. 2 lit. e DSGVO öffentlich gemacht hat.
Das Vertrauen darauf, dass ein Pseudonym geheim bleibt, wird durch die bloße öffentliche Veröffentlichung nicht geschützt. Allerdings betont die Behörde, dass es auf den konkretisierten Einzelfall und einen 'objektiven Dritten-Standard" ankommt.
Was bedeutet das für Verantwortliche?
Verantwortliche, die Inhalte aus öffentlich zugänglichen Foren weitergeben oder verarbeiten, sollten beachten:
Das Teilen von Inhalten aus öffentlichen Onlineforen ist nicht automatisch eine Datenverarbeitung im Sinne der DSGVO, wenn die Person diese bewusst dort veröffentlicht hat.
Allerdings sollte die Weitergabe von Inhalten, die Gesundheitsdaten enthalten, grundsätzlich kritisch hinterfragt werden – insbesondere, wenn dabei die Anonymität oder Pseudonymität aufgelöst wird.
Auch wenn Art. 9 Abs. 2 lit. e greifen mag: Grundsätze wie Datensparsamkeit und Zweckbindung bleiben relevant. Im Streitfall empfiehlt sich eine dokumentierte, fallspezifische Bewertung, ob der Willensakt der Veröffentlichung wirklich unzweideutig war.
Kommentar schreiben