Medizinische Unterlagen auf Abwegen: 100.000 Euro Bußgeld für Gesundheitsdaten auf der Straße

Gesundheitsdaten von Polizeibeamten – in einer Kiste auf offener Straße, für jedermann zugänglich. Was wie ein originelles Beispiel aus einer Datenschutzschulung klingt, war im Oktober 2023 bittere Realität in Palma de Mallorca. Und hat nun ein Nachspiel in Form eines Bußgeldes in Höhe von 100.000 Euro gefunden.

Was war passiert?

Die spanische Aufsichtsbehörde Agencia Española de Protección de Datos (AEPD) hat gegen das Unternehmen Medios de Prevención Externos, einen Arbeitsschutzdienstleister, ein Bußgeld in Höhe von 100.000 Euro verhängt. Auslöser war laut dem Bußgeldbescheid der AEPD der Hinweis eines Bürgers über eine auf der Straße vorgefundene unverschlossene Kiste mit medizinischen Untersuchungsunterlagen von 18 Beamten der Guardia Civil und der Nationalpolizei. Die zuständige Polizeibehörde der Balearen erstattete daraufhin Anzeige gegen das Unternehmen. 

Dieses hatte die Gesundheitsdaten im Rahmen arbeitsmedizinischer Vorsorgeuntersuchungen verarbeitet – soweit rechtmäßig und üblich. Was jedoch fehlte, waren ausreichende Maßnahmen zur Sicherstellung von Vertraulichkeit und Nachverfolgbarkeit beim Transport, bei der Übergabe und der Aufbewahrung der physischen Dokumente. Das Ergebnis: hochsensible Gesundheitsdaten, frei zugänglich auf einer öffentlichen Straße.

Datenschutzrechtliche Bewertung der Aufsichtsbehörde

Die AEPD stützte das Bußgeld auf einen Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit gemäß Art. 5 Abs. 1 lit. f DSGVO. Dieser verpflichtet Verantwortliche dazu, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen so zu verarbeiten, dass ein angemessenes Sicherheitsniveau gewährleistet ist, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust. Für medizinische Untersuchungsunterlagen als besonders sensible Datenkategorien im Sinne des Art. 9 DSGVO (Gesundheitsdaten) ist dabei ein erhöhtes Schutzniveau zu gewährleisten. 

Datenschutz hört nicht am Bildschirm auf

Der Fall Medios de Prevención Externos macht auf eine Schwachstelle aufmerksam, die in der Praxis oft unterschätzt wird: Datenschutz ist kein rein digitales Thema. Technische und organisatorische Maßnahmen (TOMs) müssen auch den Umgang mit physischen Unterlagen umfassen – von der sicheren Lagerung über den Transport bis zur ordnungsgemäßen Vernichtung.

Dass Dokumente auf dem Transportweg in die falschen Hände geraten können, zeigt nicht nur der Fall aus Palma. Auch aus Deutschland kennen wir vergleichbare Situationen – mitunter nebst einer fast skurrilen Note. Wir berichteten über einen Vorfall in Schleswig-Holstein, bei dem Papierdokumente und digitale Datenträger buchstäblich von einer Sturmböe davongetragen wurden. Das dortige Unternehmen reagierte vorbildlich und meldete den Vorfall fristgerecht, informierte die Betroffenen und passte seine Transportprozesse an. Im Fall Medios de Prevención Externos hingegen wurden offenbar keinerlei vergleichbare Sicherheitsvorkehrungen getroffen – mit deutlich schwerwiegenderen Konsequenzen.

Gerade externe Dienstleister, die im Auftrag von Unternehmen oder Behörden Gesundheitsdaten verarbeiten, tragen hier eine besondere Verantwortung. Arbeitsschutzdienstleister, Betriebsärzte oder medizinische Gutachter sollten klare interne Prozesse und Sicherheitsmaßnahmen vorhalten, z. B.: 

• versiegelte, witterungsgeschützte, abschließbare Transportbehälter (Aktenkoffer, Sicherheitstaschen)
• dokumentierte Abholung und Übergabe mit Unterschrift (Vier-Augen-Prinzip)
• Laufzettel oder Begleitprotokoll mit Inhaltsbeschreibung, Datum und beteiligten Personen
• eindeutige Kennzeichnung der Behälter (z. B. Barcode, Referenznummer) ohne Rückschluss auf den Inhalt
• vorab definierte, dokumentierte Transportrouten und Übergabeorte
• Sensibilisierung der transportverantwortlichen Mitarbeitenden
• verbindliche Zeitfenster für Transport und Übergabe einschließlich Rückmeldepflicht bei Ankunft bzw. erfolgreicher Übergabe
• Untersagung der Zwischenlagerung in ungesicherten Bereichen (z. B. Fahrzeug, öffentlicher Raum)

Fazit

Eine Kiste auf der Straße – das klingt nach einem Unfall, ist aber das Ergebnis struktureller Nachlässigkeit. Das hohe Bußgeld der AEPD verdeutlicht das Erfordernis von angemessenen Sicherheitsmaßnahmen auch für analoge Daten und während des gesamten Datenlebenszyklus. 

Für die Praxis empfiehlt sich eine regelmäßige Überprüfung der TOMs, inklusive der physischen Datenverarbeitungsprozesse. Auftragsverarbeitungsverträge sollten entsprechende Vorgaben enthalten und auf ihre Einhaltung hin kontrolliert werden. Denn am Ende des Tages ist eine Kiste mit Arztunterlagen auf der Straße nicht nur ein Datenschutzproblem – es ist ein erheblicher Vertrauensschaden gegenüber den betroffenen Personen und Auftraggebern.