BVwG W214 2007810-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 20.04.2017
• ECLI: ECLI:AT:BVWG:2017:W214.2007810.1.00

Spruch

W214 2007810-1/232E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und den fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom 27.02.2014, Zl. DSB-K122.060/0004-DSB/2014, nach Durchführung einer mündlichen Verhandlung am XXXX, am XXXX, am XXXX und am XXXX

A1) beschlossen:

Die Anträge der Beschwerdeführerin

a) eine Sperre ihrer Daten sowie der Daten XXXX zu erwirken bzw. eine Rechtsgrundlage hierfür zu schaffen,

b) dem Verwaltungsdirektor des Bezirkskrankenhauses XXXX weitere Zugriffe auf die Gesundheitsdaten der Beschwerdeführerin zu untersagen, und

c) Befugnisse nach § 30 DSG 2000 auszuüben und die Datensicherheitsmaßnahmen am Bezirkskrankenhaus XXXX zu überprüfen,

werden gemäß § 28 Abs. 1 VwGVG iVm § 31 VwGVG zurückgewiesen.

A2) zu Recht erkannt:

I. Gemäß § 28 Abs. 2 VwGVG wird der Beschwerde teilweise stattgegeben und der angefochtene Bescheid dahingehend abgeändert, dass der Spruch insgesamt zu lauten hat:

"Der Beschwerde wird teilweise stattgegeben und festgestellt, dass der Gemeindeverband Bezirkskrankenhaus XXXX die Beschwerdeführerin in ihrem Recht auf Geheimhaltung dadurch verletzt hat, dass er

1. einen XXXX ohne Wissen und ohne Zustimmung der Beschwerdeführerin im Rahmen einer Fehlzuordnung bei ihrer Krankengeschichte verarbeitet hat und

2. einen XXXX Befund der Beschwerdeführerin im Rahmen einer Fehlzuordnung bei der Abteilung "Betriebsarzt" verarbeitet hat.

Im Übrigen wird die Beschwerde abgewiesen."

II. Die darüber hinausgehenden Anträge werden abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. Der Gemeindeverband Bezirkskrankenhaus XXXX (im Folgenden: mitbeteiligte Partei) verwendet/e das elektronische Patientendokumentationssystem "Patidok" zur Führung von Krankengeschichten der Patienten. Die Beschwerdeführerin versah beim Bezirkskrankenhaus XXXX (im Folgenden: Krankenhaus) bis XXXX 2016 ihren Dienst als diplomierte Gesundheits-und Krankenschwester. Sie unterzog sich am XXXX einem operativen Eingriff im Krankenhaus, anlässlich dessen Gesundheitsdaten der Beschwerdeführerin in "Patidok" gespeichert wurden.

2. Am 29.03.2013 richtete die Beschwerdeführerin ein ausführliches Schreiben mit dem Betreff "Datenschutzverletzungen" an den Verwaltungsdirektor des Krankenhauses. Auf Seite 10 des Schreibens stellte sie entsprechend "DSG 2000, § 9, Punkt 6" (gemeint: § 9 Z 6 DSG 2000) den "Antrag auf unverzügliche Sperrung meiner Krankenunterlagen [...], damit meine sensiblen Daten, entsprechend dem Datenschutzgesetz, vor unbefugten Zugriffen durch meine Arbeitskollegen/innen geschützt werden."

3. Aufgrund einer am 16.07.2013 bei der (damaligen) Datenschutzkommission eingelangten Eingabe der Beschwerdeführerin, wonach die mitbeteiligte Partei unzulässigerweise Einsicht in ihre in "Patidok" gespeicherten Patientendaten genommen habe, leitete die Datenschutzkommission zur Grundzahl K213.220 amtswegig ein Verfahren nach § 30 DSG 2000 ein. Gleichzeitig wurde die Eingabe der Beschwerdeführerin als Beschwerde nach § 31 DSG 2000 gewertet und zur Grundzahl K121.990 protokolliert.

4. Mit Beschluss der Datenschutzkommission vom 09.10.2013, Zl. K213.220/0009/2013, wurde gegenüber der mitbeteiligten Partei zur Herstellung des rechtmäßigen Zustandes die Empfehlung ausgesprochen, die mitbeteiligte Partei möge die Zugriffsberechtigung auf die in der EDV-gestützten Patientendokumentation "Patidok" verarbeiteten Patientendaten so gestalten, dass die zugreifende Person nur Einblick in jene Daten erhält, die für die Erfüllung ihrer Aufgaben berufsgruppenspezifisch erforderlich sind. Für die Umsetzung dieser Empfehlung wurde eine Frist von 12 Monaten gesetzt.

5. Mit Bescheid der Datenschutzkommission vom 25.12.2013, Zl. K121.990/0016/2013, wurde der Beschwerde der Beschwerdeführerin teilweise stattgegeben und festgestellt, dass die mitbeteiligte Partei die Beschwerdeführerin durch Einsicht in die in der EDV-gestützten Patientenverwaltung "Patidok" gespeicherten Krankengeschichte der Beschwerdeführerin am 10.10.2012 im Zeitraum zwischen 12:06:16 Uhr und 12:07:15 Uhr in ihrem Grundrecht auf Geheimhaltung schutzwürdiger personenbezogener Daten verletzt hat.

6. In einer am 02.01.2014 bei der Datenschutzbehörde (im Folgenden: belangte Behörde) eingelangten Beschwerde, über Aufforderung der belangten Behörde verbessert bzw. ergänzt durch eine weitere Eingabe vom 27.01.2014, brachte die Beschwerdeführerin im Wesentlichen vor, durch die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt worden zu sein bzw. verletzt zu werden, dass trotz Widerrufs (Antrag auf Sperrung der Krankenunterlagen) vom 29.03.2013 ihre Daten (Befunde) in "Patidok" von sämtlichen Patidok-Anwendern abrufbar seien. Trotz Vorliegens der Entscheidungen der Datenschutzkommission habe sich nichts geändert. Nach wie vor seien sämtliche Befunde von sämtlichen Patidok-Anwendern unbeschränkt einsehbar. Die Sicherstellung ihrer schutzwürdigen Interessen sei nicht gegeben.

7. Mit dem angefochtenen Bescheid vom 27.02.2014 wies die belangte Behörde die Beschwerde ab. Begründend führte sie dazu im Wesentlichen aus: Nach § 9 Z 6 DSG 2000 würden schutzwürdige Geheimhaltungsinteressen eines Betroffenen bei der Verwendung sensibler Daten u. a. ausschließlich dann nicht verletzt, wenn der Betroffene seine Zustimmung zur Verwendung der Daten ausdrücklich erteilt habe, wobei ein Widerruf jederzeit möglich sei und die Unzulässigkeit der weiteren Verwendung der Daten bewirke. Die Beschwerdeführerin übersehe aber, dass gemäß § 9 Z 3 DSG 2000 schutzwürdige Geheimhaltungsinteressen bei der Verwendung sensibler Daten auch dann nicht verletzt würden, wenn sich die Ermächtigung oder Verpflichtung zur Verwendung aus gesetzlichen Vorschriften ergebe, soweit diese der Wahrung eines wichtigen öffentlichen Interesses dienten. Eine derartige Rechtsgrundlage für die Verwendung von Gesundheitsdaten in Krankenanstalten finde sich in § XXXX KAG. Demnach hätten Träger der Krankenanstalten Krankengeschichten zu führen und diese mindestens 30 Jahre aufzubewahren, wobei die Verwahrung so erfolgen müsse, dass eine missbräuchliche Kenntnisnahme ihres Inhaltes ausgeschlossen sei.

Im Übrigen habe die Beschwerdeführerin keine konkrete Handlung dargetan, durch die sie in ihrem Recht auf Geheimhaltung verletzt worden sein hätte können. Es bestehe kein subjektives (durchsetzbares) Recht auf Beachtung der durch § 14 DSG 2000 gebotenen Datensicherheitsmaßnahmen. Abgesehen davon sei die der mitbeteiligten Partei in der Empfehlung vom 09.10.2013 gesetzte Frist zur Herstellung des rechtmäßigen Zustandes noch nicht abgelaufen.

8. Gegen den gegenständlichen Bescheid erhob die Beschwerdeführerin mit Schriftsatz vom 27.03.2014, der am 31.03.2014 bei der belangten Behörde einlangte, fristgerecht Beschwerde an das Bundesverwaltungsgericht. Nach umfangreichen Ausführungen zu den bisher bei der Datenschutzkommission geführten Verfahren bzw. zum Verfahrensgang und den Sachverhaltsfeststellungen der belangten Behörde im nunmehr angefochtenen Bescheid führte die Beschwerdeführerin aus, dass sie keineswegs kritisiert habe, dass ihre Daten in "Patidok" gespeichert seien; das Speichern und Verwenden der Krankengeschichte ergebe sich auch aus § XXXX KAG und sei Teil ihrer auftragsgebundenen beruflichen Dienstpflichten. Die Frage sei vielmehr, ob aus persönlichem Interesse "von unmittelbaren KollegInnen" in ihren sensiblen Krankenunterlagen "unlimitiert herumgesurft" werden dürfe.

Aus § XXXX KAG ergebe sich, dass die Verwahrung der Krankengeschichten so erfolgen müsse, dass eine missbräuchliche Kenntnisnahme ihres Inhaltes ausgeschlossen sei. Nach wie vor hätten XXXX KollegInnen/Patidok-Anwender aus dem medizinischen Sektor, zuzüglich zahlreicher Schreibdienstkräfte und EDV-Mitarbeiter, Praktikanten und Famulanten offensichtlich "uneingeschränkte Berechtigungen" und könnten rund um die Uhr auf sämtliche sensible Patientendaten zugreifen. Insbesondere sei auch ein extramural durchgeführter XXXX abrufbar. Außerdem sei ohne ihr Wissen ein einwilligungspflichtiger XXXX durchgeführt und sieben Monate später ins System gestellt worden. Davon habe sie am 28.XXXX durch Zufall erfahren.

Die Beschwerdeführerin führte weiters aus, im Dezember XXXX eine aktuelle Zugriffsliste beantragt zu haben, die sie am 29.XXXX erhalten habe. Daraus ergebe sich eine neue Beweislage. Aus den Zugriffsprotokollen im Zeitraum zwischen 05.XXXX bis 20.XXXX lasse sich ableiten, dass trotz Widerrufs und ohne jede Notwendigkeit einer reger Zugriff auf die Dokumente der Beschwerdeführerin stattgefunden habe, obwohl sie seit XXXX nicht mehr in Behandlung gestanden sei. So hätten am 16.XXXX um 05:39:10 Uhr und um 05:39:19 Uhr Zugriffe durch einen Turnusarzt (im Folgenden: L.) stattgefunden, der mit ihr Nachtdienst verrichtet und die fehlende Zugriffsbeschränkung ausgenutzt habe, um seine persönliche Neugier zu befriedigen. Weiters hätten der Operateur (im Folgenden: S.) und der Primar der XXXX Abteilung (im Folgenden: H.) im August XXXX mehrfach auf ihre Dokumente zugegriffen, obwohl sie im XXXX ihre letzte Behandlung beendet habe. S. habe ihr im Gespräch versichert, dass er im August auf ihre Daten nicht zugegriffen habe, weil er gar nicht wüsste, warum. Weiters habe der Verwaltungsdirektor auf ihre Gesundheitsdaten zugegriffen, obwohl er in seiner Funktion als Verwaltungsdirektor und als Mitglied der kollegialen Führung auf ihre Gesundheitsdaten nicht zugreifen dürfe.

Die Beschwerdeführerin stellte die Anträge, das Bundesverwaltungsgericht möge ihrer Beschwerde stattgeben und 1) eine Rechtsgrundlage schaffen, damit die sensiblen Daten XXXX endlich vor dem Amtsmissbrauch durch ihre ArbeitskollegInnen geschützt würden; 2) den angefochtenen Bescheid der Datenschutzbehörde vom 27.02.2014 [...] dahingehend abändern, dass ihrem Begehren vollinhaltlich stattgegeben werde; in eventu: 3) den angefochtenen Bescheid aufheben und die Rechtssache zur neuerlichen Beweisaufnahme und Abänderung an die Datenschutzbehörde zurückverweisen.

In einem "Anhang I" führte die Beschwerdeführerin aus, warum ihrer Meinung nach ein "Einspruch zum Bescheid der Datenschutzkommission vom 25.10.2013 Sinn gemacht hätte". Weiters befinden sich in der Anlage zur Beschwerde Screenshots, Fotos der Räumlichkeiten, in denen sich PCs und nach Angabe der Beschwerdeführerin Kästen mit Krankengeschichten befinden, die Unbefugten leicht zugänglich seien, ein Schreiben der Arbeiterkammer/Bezirkskammer XXXX an den Verwaltungsdirektor des Krankenhauses und seine Antwort darauf, ein Reversschein der Beschwerdeführerin, die vom Datenschutzbeauftragten des Krankenhauses übermittelte Auswertung der Zugriffe ab 06/XXXX, in der die von der Beschwerdeführerin geltend gemachten ihrer Meinung nach ungerechtfertigten Zugriffe (von ihr) gelb gekennzeichnet sind, ein an das Krankenhaus sowie an den "Krankenhausverbandsobmann" gerichtetes Schreiben der Beschwerdeführerin vom 07.03.2014, mit dem die Beschwerdeführerin (erneut) den Antrag auf unverzügliche Sperrung ihrer Krankenunterlagen und Sperrung der Krankenunterlagen XXXX stellte, damit ihre sensiblen Daten vor unbefugten Zugriffen durch ihre Arbeitskollegen/innen geschützt würden. Weiters beantragte sie in diesem Schriftstück ein vollständiges Protokoll über die Verwendung ihrer sensiblen Daten vom 21.01.2014 bis zum "heutigen Tag" sowie ein vollständiges Protokoll über die Verwendung der sensiblen Daten XXXX vom 01.XXXX bis zum "heutigen Tag". Auch beantragte sie Auskunft, wer in einem bestimmten Zeitraum auf ihre Daten bzw. die XXXX zugegriffen habe. In einem ebenfalls beiliegenden Schreiben des Verwaltungsdirektors sicherte dieser der Beschwerdeführerin die Übersendung der Zugriffsprotokolle zu und stellte eine Inrechnungstellung des Aufwandes für die Beantwortung weiterer Auskunftsbegehren in Aussicht. Die Daten XXXX seien nur jenen Mitarbeitern zugänglich, die über den Schlüssel verfügten. Weiters sei die Implementierung einer Zeitablaufsperre geplant, durch die hinkünftig der Zugang trotz Nennung eines Passwortes unterbunden werden solle, wenn der letzte Krankenhausaufenthalt des Patienten länger als eine definierte Zeitspanne zurückliege.

9. Aufgrund eines "Auftrages zur Ergänzung des Vorbringens" durch die belangte Behörde führte die Beschwerdeführerin in einem Schreiben vom 08.04.2014 aus, dass sie einen Teil der angeforderten Zugriffsliste erst Ende Jänner 2014 erhalten habe und diese überprüfen habe müssen, um nicht falsche Vorwürfe zu erheben. Sie habe die Beantragung der Zugriffsprotokolle in ihrer Beschwerde an die belangte Behörde in aller Deutlichkeit angegeben. Die belangte Behörde hätte Parteiengehör gewähren und die Zugriffsliste anfordern müssen. Am 01.XXXX sei ihr die beantragte Zugriffsliste übermittelt worden, die sie nunmehr unverzüglich vorlege. In weiterer Folge wurden die einzelnen - nach Ansicht der Beschwerdeführerin rechtswidrigen - Zugriffe auf ihre Daten näher erläutert. Weiters wurde von ihr eine Diskrepanz der Zugriffslisten vom 29.XXXX gegenüber der Zugriffsliste vom 01.XXXX geltend gemacht. Auch würden Zugriffe, die sie selbst getätigt habe, nicht auf der Zugriffsliste aufscheinen. Dem Schriftsatz waren ein Schreiben der Beschwerdeführerin an den Datenschutzbeauftragten des Krankenhauses sowie Protokolldatenlisten, eine Reihe von Screenshots, das Formular einer Flugfähigkeitsbestätigung und ein Befund der Beschwerdeführerin angeschlossen.

10. Die Beschwerde wurde von der belangten Behörde der mitbeteiligten Partei gemäß § 10 VwGVG zur Kenntnis gebracht und eine Frist für die Abgabe einer Stellungnahme gesetzt.

Die mitbeteiligte Partei gab dazu mit Schreiben vom 08.05.2014 eine Stellungnahme ab, in der festgehalten wurde, dass die Beschwerdeführerin in ihrer Beschwerde erstmals Kritik an konkreten Zugriffen vorbringe. Der Verwaltungsdirektor habe auf die Krankengeschichte der Beschwerdeführerin zugegriffen, um sich einen "Überblick über den Sachverhalt" zu verschaffen. Was die Vorwürfe der Zugriffe durch drei Ärzte betreffe, so werde es hinsichtlich des Zugriffs durch L. nicht ausgeschlossen, dass die Beschwerdeführerin selbst - wenn auch unwissentlich - die Zugriffe mit der Kennung des Arztes vorgenommen habe (falls es der Arzt unterlassen hätte, sich beim Verlassen des Untersuchungsraumes vom System abzumelden und die Beschwerdeführerin es verabsäumt hätte, sich vor Nutzung des Systems neu anzumelden). Man werde aber den Arzt zu diesem Vorfall befragen. H. besitze als Leiter der Abteilung das Recht, jederzeit auf die Dokumentation der von ihm zu leitenden Abteilung zuzugreifen und auch der Operateur der Beschwerdeführerin, S., habe jederzeit das Recht, in die von ihm angefertigte Dokumentation Einsicht zu nehmen, wenn dies im Sinne der Patientenversorgung zweckmäßig sei. Auch hierzu würden Erhebungen durchgeführt werden. Ein Fehler in der Protokollierung habe nicht festgestellt werden können. Eine weitere Auflistung der Beschwerdeführerin von nicht protokollierten Ereignissen umfasse Druckereignisse von diversen Formularvordrucken. Dies stelle keinen Zugriff auf bestehende Dokumente dar. Im Übrigen löse erst die Auswahl eines bestimmten Patienten und die Einsicht in dessen Dokumentenübersicht ein Protokollereignis aus. Was die Vielzahl der Protokollierungen betreffe, so dürfte das System so programmiert sein, dass es bei jedem Behandlungsfall des Patienten ein Protokollereignis auslöse.

Es sei auch der Beschwerdeführerin mitgeteilt worden, dass das Krankenhaus demnächst eine Änderung des Systems dahingehend erfahren werde, dass auf Krankengeschichten von bereits mehr als (voraussichtlich) drei Wochen entlassenen Patienten einem Großteil der Mitarbeiter (im Wesentlichen: allen "Nicht-Ärzten") kein Zugriff mehr möglich sein werde. Ärzte könnten zwar nach Ablauf einer gewissen Zeit nach Entlassung noch weiterhin Zugriff nehmen, würden aber einen Grund für den Zugriff benennen müssen.

Mit Schreiben vom 09.05.2014 ergänzte die mitbeteiligte Partei, dass S. angegeben habe, dass er von der Beschwerdeführerin mehrmals ersucht worden sei, bei der Erklärung von Untersuchungsergebnissen behilflich zu sein. Er habe aus diesem Grund in der Akte nachgesehen, um nach möglichen Erklärungshinweisen zu suchen. H. habe angegeben, dass er es für sehr wahrscheinlich halte, aus beruflichen Gründen auf die Krankenakte der Beschwerdeführerin zugegriffen zu haben. Die Beschwerdeführerin sei Patientin an der von ihm geführten Abteilung. Ein Gespräch mit L. sei für die kommende Woche terminlich fixiert.

11. Mit Schreiben vom 13.05.2014 wurden die Beschwerde, der Verwaltungsakt sowie die Stellungnahme der mitbeteiligten Partei samt einer Stellungnahme der belangten Behörde von dieser dem Bundesverwaltungsgericht vorgelegt. Die belangte Behörde führte aus, die Beschwerdeführerin bringe substantielle Neuerungen sowie neue Beweismittel vor, die in dem dem angefochtenen Bescheid zu Grunde liegenden Ermittlungsverfahren nicht bekannt gewesen seien und somit auch nicht berücksichtigt werden hätten können. Es sei nicht gänzlich auszuschließen, dass die Beschwerdeführerin durch die dokumentierten, jedoch erst im nunmehrigen Beschwerdeverfahren vorgelegten Zugriffe in ihrem Recht auf Geheimhaltung verletzt worden sei. Ein umfassendes Ermittlungsverfahren sei in der gesetzlich normierten Frist von zwei Monaten nicht möglich.

Die belangte Behörde beantragte, das Bundesverwaltungsgericht möge nach Durchführung ergänzender Ermittlungen in der Sache selbst entscheiden.

Dem Verwaltungsakt war auch ein von der Beschwerdeführerin vorgelegter Ordner mit zahlreichen Schriftstücken angeschlossen. Darunter befand sich auch ein E-Mail-Wechsel zwischen der Beschwerdeführerin und S., in dem sie S. im Zusammenhang mit einem ihrer Meinung nach widerrechtlich durchgeführten XXXX, der sich in ihrer Krankengeschichte befinde, ersuchte, eine diesbezügliche Überprüfung vorzunehmen.

12. In einem Schreiben vom 12.05.2014 wies die Beschwerdeführerin darauf hin, dass vom Krankenhaus gewisse "Datensicherheitsmaßnahmen" implementiert wurden, die ihrer Meinung nach völlig unzureichend seien.

13. Mit Schreiben vom 19.05.2014 legte die belangte Behörde die Eingabe der Beschwerdeführerin vom 12.05.2014 sowie eine weitere Eingabe der mitbeteiligten Partei vom 15.05.2014 vor. In der Stellungnahme der mitbeteiligten Partei wurde ausgeführt, dass L. versichert habe, nicht auf die Daten der Beschwerdeführerin zugegriffen zu haben. Er schließe aber nicht aus, es seinerzeit verabsäumt zu haben, sich im System beim Verlassen des Raumes abzumelden, obwohl er dies in aller Regel tue. Es werde daher für wahrscheinlich gehalten, dass die Beschwerdeführerin am 16.XXXX unwissentlich mit der Benutzerkennung des L. weitergearbeitet habe und auf ihre eigene Krankengeschichte zugegriffen habe.

14. Mit einem weiteren Schreiben vom 22.05.2014 legte die belangte Behörde eine weitere Beschwerdeergänzung der Beschwerdeführerin vom 21.05.2014 vor, in der abermals die Datensicherheitsmaßnahmen im Krankenhaus kritisiert wurden.

15. In einer weiteren Eingabe vom 21.08.2014 stellte die Beschwerdeführerin einen Antrag auf "Rechtsmittelbelehrung" und bezog sich auf nach wie vor fehlende bzw. unwirksame Datenschutzmaßnahmen. Weiters stellte sie fest, dass aus den Zugriffsprotokollen vom 29.XXXX ersichtlich sei, dass zwischen 05.XXXX und 13.XXXX ein reger Zugriff auf ihre Dokumente stattgefunden habe, obwohl sie seit XXXX nicht mehr in Behandlung gestanden sei. Am 16.XXXX hätten zwei Zugriffe stattgefunden, die völlig ohne Grund und absolut unmöglich auftragsgebunden erfolgen hätten können. Dem Schreiben sind zahlreiche Unterlagen, unter anderem auch eine Korrespondenz zwischen dem XXXX Volksanwalt und dem Verwaltungsdirektor des Krankenhauses, angeschlossen.

16. Mit Schreiben vom 27.08.2014 wurde der Beschwerdeführerin vom Bundesverwaltungsgericht Parteiengehör gewährt und wurde sie über ihre Parteienrechte und über den Verfahrensstand informiert.

17. Mit Schreiben vom 10.09.2014 wurden die Beschwerdeergänzungen und ergänzenden Schriftstücke den anderen Parteien zur Kenntnis gebracht und ihnen die Gelegenheit zur Abgabe einer Stellungnahme eingeräumt.

18. In einer umfangreichen Stellungnahme vom 12.09.2014 nahm die Beschwerdeführerin im Rahmen des Parteiengehörs Stellung. Unter anderem wies sie darauf hin, dass der Verwaltungsdirektor nicht legitimiert sei, die sensiblen Daten seiner Mitarbeiter zu verwenden bzw. zu verarbeiten. Dies sei ausschließlich Sache des Datenschutzbeauftragten, der auch befugt sei, in seiner Funktion entsprechende Erhebungen vorzunehmen und im Anschluss die nötigen Stellungnahmen abzugeben. Die Behauptung, dass die Beschwerdeführerin wenige Minuten vor dem Zugriff von L. auf ihre Krankengeschichte zugegriffen habe, sei absolut unwahr. Aus den Zugriffsprotokollen lasse sich entnehmen, dass die Zugriffe durch L. während ihres gemeinsamen Nachtdienstes am 16.XXXX stattgefunden hätten und sie ihre Zugriffsversuche am 12.XXXX getätigt habe. Darüber hinaus seien die Zugriffe von verschiedenen Arbeitsstellen erfolgt. Auch bei L. sei viermal ein Protokollereignis ausgelöst worden, was beweise, dass er Einsicht in ihre sensiblen Befunde genommen habe. Bei dem Zugriff durch den Verwaltungsdirektor verhalte es sich ähnlich. Auch sei sie derzeit nicht Patientin an der Abteilung von H., sondern dort bis Mitte Oktober XXXX Patientin gewesen. Eine Datenverwendung müsse an einen Auftrag zum Zwecke einer guten Patientenversorgung gebunden seien. Es sei nicht zulässig, dass ein Arzt "aus beruflichen Gründen" unbegrenzte Zugriffsmöglichkeit erhalte. Es sei richtig, dass sie S. zu einem widerrechtlich erhobenen XXXX befragt habe, es sei aber nicht nachvollziehbar, welche Datenverwendung im August XXXX unter seiner Zugriffsberechtigung erfolgt sei.

Da L. bestreite, auf die Daten der Beschwerdeführerin zugegriffen zu haben, beantrage die Beschwerdeführerin, ihn als Zeugen unter Wahrheitspflicht zu befragen. Auch kontrolliere die Beschwerdeführerin stets mit höchster Akribie am PC, ob sie auch selber eingeloggt sei, wenn sie ihre eigene Krankengeschichte verwende. Es sei auch nicht korrekt, dass sich L. in aller Regel vom System abmelde. Nur Ausnahmen wie sie selbst würden sich beim Verlassen eines Raumes in aller Regel vom System abmelden, denn mit diesem System wäre ein Arbeiten absolut unmöglich, wenn sich jeder Patidok-Anwender vom System abmelden würde, weil ein überaus komplizierter Einstieg einen geregelten Dienstablauf unmöglich machen würde.

19. In einer Stellungnahme vom 24.09.2014 nahm die mitbeteiligte Partei im Rahmen des Parteiengehörs Stellung und erklärte, dass gegen den Antrag der belangten Behörde, das Bundesverwaltungsgericht möge über die Vorwürfe der Beschwerdeführerin weitere Ermittlungen führen und in der Sache selbst entscheiden, kein Einwand bestünde.

Weiters führte sie aus, dass es zu einem neuen Rollenkonzept und einer Umsetzung der Empfehlung der Datenschutzkommission gekommen sei. Auf Krankengeschichten könne nur zugreifen, wer mit der Betreuung des Patienten befasst sei. Habe der Patient das Haus verlassen, so sei ab dem dritten Folgetag der Zugriff nicht mehr möglich. Diese Barriere beziehe sich auf das klassische medizinische Dokument, nicht aber auf Stammdaten zu Behandlungsfällen. Für verschiedene Personen sei ein Zugriff aber darüber hinaus weiterhin noch zwingend erforderlich, z.B. für die behandelnden Ärzte, die nach Einlangen externer Laborbefunde die Krankengeschichte schriftlich festzuhalten haben. Je nach Rolle und typischen Bedarf hätten Personen aus diesem Kreis nun entweder nach drei Tagen nach der Entlassung keinen Zugriff mehr oder nach 30 Tagen (angelehnt an die 28-Tage-Regelungen des ELGA-Systems). Richtig sei, dass die Ärzte auch nach 30 Tagen noch Zugriff nehmen könnten, dann jedoch zwingend eine schriftliche Begründung angeben müssten. Die Beschwerdeführerin verkenne, dass auch weiterhin jeder Zugriff nur an einen Auftrag gebunden sei.

Zu den angeblich unberechtigten Zugriffen durch Ärzte wurde ausgeführt, dass S. mitgeteilt habe, von der Beschwerdeführerin selbst gebeten worden zu sein, medizinische Fragen betreffend die Durchführung einer Laboruntersuchung zu klären. Dies könne nach seiner Erinnerung durchaus "im Zeitraum August XXXX" gewesen sein. Im Übrigen sei er behandelnder Arzt gewesen, der die medizinische Dokumentation, in die er nun wieder Einsicht genommen habe, selbst verfasst habe. Bezüglich des Zugriff des L. würden bereits Stellungnahmen vorliegen und die mitbeteiligte Partei halte es für wahrscheinlich, dass die Beschwerdeführerin selbst mit der Zugriffskennung des L. den Zugriff durchgeführt habe. Neben weiteren Ausführungen wurde im Schreiben der Beschwerdeführerin vorgeworfen, selbst im Rahmen ihrer Beschwerde an das Bundesverwaltungsgericht sensible Patientendaten an Dritte weitergegeben zu haben. Weiters habe sie unter fremder Kennung auf Daten zugegriffen. Abschließend enthielt das Schreiben Anmerkungen zur strafrechtlichen Bedeutung einer nicht ausreichend zuverlässigen und zeitgerecht gelungenen Zurverfügungstellung von medizinischen Daten.

20. Mit Schreiben vom 07.10.2014 wurde von der Beschwerdeführerin ein weiteres "ergänzendes Vorbringen" erstattet. Es seien erneut Zugriffe, die von ihr nachweislich erfolgt seien, überhaupt nicht protokolliert worden. Weiters gebe es Einschüchterungsversuche durch den Dienstgeber im laufenden Verfahren. Sowohl der Vorwurf, sie habe eine andere Benutzerkennung verwendet, als auch dass sie mit der Benutzerkennung des L. Zugriffe getätigt habe, sei die absolute Unwahrheit.

21. Mit Schreiben vom 27.10.2014 wurden von der Beschwerdeführerin eine "Richtigstellung" und ein weiteres "ergänzendes Vorbringen" übermittelt sowie weitere Anträge gestellt. In diesem Schreiben berichtete die Beschwerdeführerin von neuen Einschüchterungsversuchen im laufenden Verfahren, da ihr der Verwaltungsdirektor verboten habe, alle Arten von Daten weiterzugeben.

22. In einer weiteren Eingabe vom 07.11.2014 berichtete die Beschwerdeführerin von unwahren Behauptungen des Verwaltungsdirektors gegenüber der XXXX Patientenvertretung.

23. Nach Übermittlung eines Schriftstückes, in dem unter anderem um rechtzeitige Information über die Anberaumung einer mündlichen Verhandlung gebeten wurde, übermittelte die Beschwerdeführerin mit Datum 19.01.2015 ein weiteres "ergänzendes Vorbringen", mit dem sie mitgeteilte, dass die Datensicherheitsmaßnahmen noch immer nicht ausreichend seien.

24. Am 20.01.2015 nahm die Beschwerdeführerin Akteneinsicht in den gegenständlichen Verfahrensakt beim Bundesverwaltungsgericht.

25. In einer Stellungnahme vom 19.01.2015 führte die belangte Behörde aus, dass der behauptete Zugriff auf Daten des XXXX der Beschwerdeführerin nicht Gegenstand des vorliegenden Verfahrens sei, da es sich um Daten eines Verstorbenen handle und das Grundrecht auf Datenschutz ein höchstpersönliches sei. Auch Missstände hinsichtlich unrichtiger Zugriffsprotokollierungen könnten mangels Verletzung subjektiver Rechte - nicht Gegenstand eines formellen Beschwerdeverfahrens sein, sondern allenfalls in einem Verfahren nach § 30 DSG 2000 aufgegriffen werden.

26. In einer weiteren Äußerung vom 28.01.2015, in der umfangreiche Ausführungen zur Stellungnahme der mitbeteiligten Partei getätigt wurden, beantragte die Beschwerdeführerin unter anderem, die Akten der bei der belangten Behörde (früher: Datenschutzkommission) bereits abgeschlossenen Verfahren (§ 31-Verfahren und § 30-Verfahren) heranzuziehen. Diese wurden vom Bundesverwaltungsgericht in weiterer Folge beigeschafft.

27. Mit Schreiben vom 18.05.2015 übermittelte die Beschwerdeführerin eine "Richtigstellung", ein "ergänzendes Vorbringen" und "Anträge", wobei insbesondere auch auf das Verhalten des Obmannes des Gemeindeverbandes Bezug genommen wurde.

28. In einem Schreiben vom 22.07.2015 legte die Beschwerdeführerin wiederum ein "ergänzendes Anbringen" und "Anträge" vor, in denen sie u. a. behauptete, dass der Verwaltungsdirektor vom Bundesverwaltungsgericht Unterlagen bekommen hätte, obwohl er nicht Verfahrenspartei sei. In diesem Zusammenhang wurde auf ein arbeitsgerichtliches Verfahren Bezug genommen, in dem offenbar (auch) behauptet wurde, dass der Verwaltungsdirektor Unterlagen aus dem Verfahren "interessehalber" bekommen habe.

29. In einer Stellungnahme vom 18.08.2015 teilte die mitbeteiligte Partei unter anderem mit, dass sie in einem arbeitsrechtlichen Verfahren der Beschwerdeführerin angeboten habe, die sie betreffenden medizinischen Dokumente aus ihrem IT-System zu löschen und lediglich auf Papierbasis verschlossen aufzubewahren. Dies sei jedoch von der Beschwerdeführerin abgelehnt worden.

30. Mit Schreiben vom 25.08.2015 legte die Beschwerdeführerin ein weiteres "ergänzendes Vorbringen" und "Anträge" vor.

31. In einem weiteren Schreiben vom 27.08.2015 legte die Beschwerdeführerin ein weiteres "ergänzendes Vorbringen" und "Anträge" vor und behauptete erneut, dass ihre Stellungnahmen vom Bundesverwaltungsgericht an den Verwaltungsdirektor übermittelt worden seien, obwohl dieser keine Parteistellung habe. Weiters gab sie Erklärungen ab, warum sie dem arbeitsgerichtlichen Vergleich nicht zugestimmt habe.

32. Mit Schreiben vom 06.11.2015 führte die Beschwerdeführerin in einer "Beweismittelvorlage" erneut aus, dass die Behauptung, dass sie unter der Kennung des L. Daten abgerufen habe, unwahr sei, und bezeichnete den Zugriff des Verwaltungsdirektors auf ihre Gesundheitsdaten als rechtswidrig. Weiters erklärte sie, dass es unmöglich sei, dass jeder unter seiner Benutzerkennung arbeite, weil sonst der Betrieb zum Erliegen käme, was von zahlreichen Kolleginnen und Kollegen bestätigt werde. Das Schreiben ist von einer Reihe von Kolleginnen und Kollegen unterschrieben, die die letztgenannten Ausführungen der Beschwerdeführerin bestätigen.

33. Mit Schreiben vom 21.12.2015 fasste das Bundesverwaltungsgericht die bisherigen Ermittlungsergebnisse bezüglich der behaupteten Zugriffe auf die Krankengeschichten der Beschwerdeführerin durch L., S., den Verwaltungsdirektor und H. zusammen. Zum Zugriff durch L. wurde festgehalten, dass dem von der Beschwerdeführerin vorgelegten Protokoll zu entnehmen sei, dass die Beschwerdeführerin am 12.XXXX auf ihre Krankengeschichte zugegriffen habe, jedoch am 16.XXXX keine Zugriffe durch sie aufschienen. Zum Zugriff durch S. wurde vom Bundesverwaltungsgericht festgehalten, dass aus den von der Beschwerdeführerin selbst vorgelegten Unterlagen hervorgehe, dass zwar auch im Mai 2013 Zugriffe durch S. stattgefunden hätten, dass aber zwischen der Beschwerdeführerin und S. bezüglich eines ohne Wissen der Beschwerdeführerin durchgeführten XXXX ein E-Mail-Wechsel auch im August und September XXXX stattgefunden habe, in dem S. von der Beschwerdeführerin gebeten wurde, in ihre Krankenakte Einsicht zu nehmen, sodass davon auszugehen sei, dass die Zugriffe des S. erneut in diesem Zusammenhang erfolgt seien. Zum Umfang der Zugriffe des Verwaltungsdirektors würden verschiedene Aussagen vorliegen. Zum Zugriff des H. sei von der mitbeteiligten Partei mitgeteilt worden, dass dieser es für sehr wahrscheinlich halte, aus beruflichen Gründen auf die Krankenakte der Beschwerdeführerin zugegriffen zu haben. Demgegenüber habe die Beschwerdeführerin ausgeführt, dass sie lediglich bis Mitte XXXX Patientin an der Abteilung des H. gewesen sei.

Die Beschwerdeführerin und die mitbeteiligte Partei wurden zu verschiedenen Punkten um Stellungnahme gebeten. Weiters wurde um Mitteilung gebeten, welche Daten jeweils abgefragt wurden (in welchen Fällen die Abfrage einer Übersicht erfolgt sei und in welchen Fällen die gesamte Krankengeschichte oder ein Teil davon abgefragt worden sei).

34. In einer Stellungnahme vom 08.01.2016 räumte die mitbeteiligte Partei ein, dass sie sich hinsichtlich des Datums der Nacht getäuscht und irrtümlich angenommen habe, dass die Zugriffe des L. in derselben Nacht stattgefunden hätten wie die Zugriffe der Beschwerdeführerin. Allerdings habe die Beschwerdeführerin auch am

16. XXXX Nachtdienst gehabt. Daher werde es weiterhin für möglich gehalten, dass die Beschwerdeführerin selbst - unwissentlich - mit der Kennung von L. auf ihre eigene Krankengeschichte zugegriffen habe. Die Beschwerdeführerin habe Tage zuvor und auch später auf ihre eigene Krankengeschichte zugegriffen, und zwar von verschiedenen Arbeitsstellen aus. Ein Hinweis, dass mit der Kennung von L. Dokumente geöffnet und eingesehen worden seien, finde sich im Protokoll nicht. Zum Zugriff des Verwaltungsdirektors auf Daten der Beschwerdeführerin wurde ausgeführt, dass dieser, um eine Stellungnahme an die Datenschutzkommission abzugeben, den Sachverhalt habe kennen müssen und sich entsprechend kundig gemacht habe. H. dürfe als Abteilungsleiter auf alle Krankenunterlagen der Abteilung zugreifen, ohne dafür eine (weitere) Dokumentation vornehmen zu müssen, um seiner Aufsichtspflicht nachzukommen. Es sei zwar richtig, dass die Beschwerdeführerin seit XXXX nicht mehr in Behandlung des H. gestanden habe, sie habe aber einen Arzt aus dem Team des H. wegen eines XXXX befasst, der im Zeitraum der Behandlung an der von H. geleiteten Abteilung durchgeführt worden sei.

Zu den eingesehenen Dokumenten wurde ausgeführt, dass sich die allermeisten Zugriffe des Zugriffsprotokolls auf tabellarische Übersichten über die vorhandenen Dokumente (in Form einer Bildschirmauflistung, aus der heraus man aber auch auf konkrete Dokumente klicken könne, die sodann zur Einsicht geöffnet würden, falls die Zugriffsrechte dies gestatten würden) beschränkten. Abgesehen von den Dokumenten, die die Beschwerdeführerin selbst mit eigener Benutzerkennung geöffnet und eingesehen habe, seien laut Protokoll nur noch folgende Dokumente eingesehen worden: H. habe das Dokument ID XXXX (eingescanntes Anästhesie-Protokoll vom

11. XXXX[Scan Datum] geöffnet und eingesehen und S. das Dokument ID

XXXX (XXXX Arztbrief vom 16.XXXX). Beide Dokumente seien demselben

XXXX Aufenthalt zugeordnet.

35. Mit Schreiben vom 11.01.2016 übermittelte die Beschwerdeführerin "Grundlagen", eine "Stellungnahme" und "Anträge". Auch die Einsicht in Übersichten von Krankengeschichten für andere Zwecke sei laut Datenschutzkommission unzulässig. Der Verwaltungsdirektor stelle bezüglich des Zugriffs unter der Kennung des L. Vermutungen an. L. werde unter Wahrheitspflicht als Zeuge zu befragen sein. Bezüglich des Zugriffs des S. scheine es zwar schlüssig, dass dieser in ihrem Auftrag in die Krankengeschichte Einsicht genommen habe, dennoch könne nicht ausgeschlossen werden, dass sich eine dritte Person kurzfristig der Benutzerkennung habe bemächtigen können. Der Auftraggeber habe noch nicht beauskunftet, zu welchem Zweck die Dokumente der Beschwerdeführerin unter der Zugriffkennung des S. am 09.XXXX aufgerufen worden seien. Zum Zugriff des Verwaltungsdirektors führte die Beschwerdeführerin aus, dass dieser unmöglich befugt sein könne, auf sensible Krankenunterlagen seiner Mitarbeiter/innen zuzugreifen, zumal im Krankenhaus ein Datenschutzbeauftragter namhaft gemacht worden sei und die Letztverantwortung beim Gemeindeverband liege. Auch bezüglich der Zugriffe des H. habe die mitbeteiligte Partei nur ausgeführt, dass

H. "es für wahrscheinlich halte", die Zugriffe aus beruflichen Gründen getätigt zu haben. Dem Schreiben ist u. a. eine Stellungnahme von H. vom 30.07.2014 angeschlossen, in der er ausführt, keine Erklärung für den durchgeführten XXXX zu haben und auch nicht feststellen könne, ob die Blutabnahme auf seiner Station durchgeführt worden sei.

Zum Umfang der Zugriffe könne keine endgültige Antwort gegeben werden, weil gewisse Zugriffe nicht einmal dokumentiert seien. Die Frage nach der Einsicht in die gesamte Krankengeschichte oder Teile davon sei irrelevant, weil bereits die Einsicht in die Dokumentenübersicht ein Datenschutzverstoß sei. Das Schreiben enthielt zahlreiche Anträge zur Zugriffsdokumentation und zu verschiedenen in "Patidok" gespeicherten Dokumenten.

36. Mit Schreiben der mitbeteiligten Partei vom 11.01.2016 wurde mitgeteilt, dass der Verwaltungsdirektor des Krankenhauses befugt sei, die sachlichen Stellungnahmen in Angelegenheiten des Datenschutzes abzugeben. Weiters wurde mitgeteilt, dass die mitbeteiligte Partei bei der angekündigten mündlichen Verhandlung von einem namentlich genannten Rechtsanwalt vertreten würde. Als EDV-Experte wurde der Datenschutzbeauftragte des Krankenhauses nominiert. Mit Schreiben vom 01.02.2016 wurde die entsprechende Vollmacht des Anwaltes bekannt gegeben.

37. Mit einer weiteren Eingabe vom 07.03.2016 mit dem Betreff "Abgabe zu der mit Schreiben vom 16.02.2016 [...] ersuchten Stellungnahme" führte die Beschwerdeführerin u. a. aus, dass in keiner Weise sichergestellt sei, dass in Fällen, in denen die Zugriffslisten den Zugriffscode XXXX anführen, tatsächlich "bloß" in Inhaltsverzeichnisse und Übersichtsdarstellungen eingesehen wurden. Außerdem gebe es verschiedene Zugriffslisten über denselben Zeitraum. Verwiesen wurde auch darauf, dass ein "XXXX", der extramural von der XXXX der Beschwerdeführerin durchgeführt worden sei, im System aufgeschienen und kurze Zeit später wieder verschwunden sei. Dieser sei laut Einschau der belangten Behörde am 24.11.2015 (in einem anderen Verfahren, Anm.) bei der Betriebsärztin gespeichert worden, was ebenfalls unzulässig sei. Weiters wurde auf die Zugriffe auf die Daten XXXXBezug genommen und eine Stellungnahme zur Stellungnahme der mitbeteiligten Partei vom 08.01.2016 abgegeben. U.a. stellte die Beschwerdeführerin die Frage, warum keine Stellungnahme von L. zu dem unter seiner Kennung vorgenommenen Zugriff vorliege. Auch scheine es nicht nachvollziehbar, dass H. den Anästhesiebefund einer fachfremden Abteilung öffne, den XXXX Befund der seiner eigenen Aufsichtspflicht unterliegenden Abteilung aber völlig unberührt lasse. Es sei auch kein Zusammenhang mit der Abklärung eines rechtswidrig erhobenen XXXX erkennbar. Der Zugriff von H. habe bereits am 07.XXXX stattgefunden, der Zugriff von S. sei erst am 09.XXXX erfolgt. Auch habe die Beschwerdeführerin nicht mit

H. über den XXXX gesprochen. Es sei auch nicht mit dem DSG 2000 vereinbar, dass H. keiner Dokumentationspflicht unterliege. Des Weiteren wurde nochmals ausgeführt, dass die Zugriffe des Verwaltungsdirektors rechtswidrig seien. Auch dass S. von zwei verschiedenen Arbeitsstellen aus nur einen XXXX Arztbrief gelesen haben soll, sei nicht glaubhaft. Weiters stellte die Beschwerdeführerin diverse Anträge und brachte vor, dass Zeugen vom Verwaltungsdirektor unter Druck gesetzt worden seien. Dem Schreiben war u.a. ein Protokoll über eine von der belangten Behörde vorgenommene Einschau bei der mitbeteiligten Partei (im Krankenhaus) beigelegt.

38. Am 08.04.2016 brachte die Beschwerdeführerin einen Schriftsatz ein, der als "Vorbringen", "Anträge" und "Neue Beilage ./592 im Umfang von 75 Seiten" bezeichnet war. Darin behauptete sie erneut, dass die belangte Behörde und das Bundesverwaltungsgericht ihre Stellungnahmen an die falsche Person zugestellt hätten und dass der Verwaltungsdirektor selbst Datenschutzverletzungen begangen habe. In weiterer Folge listete die Beschwerdeführerin in verschiedenen Stellungnahmen getätigte Aussagen des Verwaltungsdirektors auf, die ihrer Meinung nach falsch seien.

39. Mit Schreiben vom 25.04.2016 teilte die Beschwerdeführerin mit, dass sie ihre Anträge aufrechterhalte. Weiters rügte die Beschwerdeführerin, dass der Verwaltungsdirektor rechtswidrigerweise Daten ihres XXXXbefundes verwende, und stellte eine Reihe von neuen Anträgen.

40. Am XXXX fand eine mündliche Verhandlung am Bundesverwaltungsgericht statt. Dabei erfolgte durch das Gericht eine ausführliche Rechtsbelehrung der Beschwerdeführerin. Bei dieser Verhandlung betonte der Vertreter der mitbeteiligten Partei nochmals, dass der Verwaltungsdirektor der verantwortliche Leiter für den wirtschaftlichen, administrativen, technischen Bereich und den Personalbereich sei. Er sei vom Obmann des Gemeindeverbandes beauftragt worden, alle Stellungnahmen an die Datenschutzkommission, die Datenschutzbehörde und an das Bundesverwaltungsgericht abzugeben. Er habe immer in einem dienstlichen Auftrag des Gemeindeverbandes gehandelt. Die mitbeteiligte Partei legte eine neue Protokollliste vor, in der mehr Dokumentenzugriffe aufschienen als in der ursprünglich an die Beschwerdeführerin vorgelegten Liste.

Der als Zeuge befragte H. führte aus, dass auch er davon ausgehe, dass er am 07.XXXX auf die Daten der Beschwerdeführerin zugegriffen habe, weil es kurz davor eine Beschwerde der Beschwerdeführerin an S. gegeben habe. Dieser habe Kontakt mit dem Zeugen aufgenommen. Er nehme an, dass er deshalb auf die Daten zugegriffen habe. Es habe auch eine Anfrage der Patientenanwaltschaft gegeben. Er wisse aber nicht mehr genau, wann dies der Fall gewesen sei. Es gebe ca. einmal im Monat eine Anfrage der Patientenanwaltschaft. Es sei damals um die Frage gegangen, warum ein XXXX gemacht worden sei. Ihm sei nicht klar gewesen und sei es auch heute noch nicht, warum ein solcher Test gemacht worden sei. Solche Tests würden nur gemacht, wenn sich jemand verletzt habe. Gleichzeitig sei ein XXXX auch angefordert worden. Das spreche dafür, dass Derartiges stattgefunden habe. Es gebe ein Formular, das die Betriebsärztin auflege. Dann werde ein Bluttest beim Patienten durchgeführt. Der Zeuge führte weiters aus, dass er auf eine ganze Reihe von Dokumenten Zugriff genommen habe. Angesprochen auf den XXXX Befund der Beschwerdeführerin führte der Zeuge aus, dass er nicht verstehe, wie ein Befund im System sein und dann wieder verschwinden könne. Auf die Archivierung von Dokumenten in Patidok angesprochen führte der Zeuge aus, dass es unterschiedlich sei, wie schnell die Archivierung funktioniere. Nur die externen Dokumente würden zeitverzögert in das System gestellt. Es habe sich niemand "geoutet", den Auftrag zur Durchführung eines XXXX gegeben bzw. sich verletzt zu haben. Bis zur Beschwerde der Beschwerdeführerin habe er nicht gewusst, dass der Test stattgefunden habe.

L. wurde dazu befragt, dass er laut Protokoll am 16.XXXX während eines Nachtdienstes Zugriff auf die Daten der Beschwerdeführerin genommen haben soll. Dies wurde vom Zeugen bestritten. Er könne sich die Zugriffe nur dadurch erklären, dass jemand anderer mit seiner aufrechten Kennung zugegriffen habe. Konkret könne er sich nicht an den Tag erinnern und wie viele Leute da gewesen seien. Es seien maximal ein bis zwei Ärzte und ein bis zwei Schwestern anwesend gewesen. Er wisse nicht mehr, ob sich die Beschwerdeführerin in seiner Nähe befunden habe. Er könne sich nicht mehr erinnern, wann er den Nachtdienst verlassen habe. Auf die Frage, wie oft am Tag er auf Patientendaten greifen müsse, führte der Zeuge aus, dass er an einem achtstündigen Tag 500 bis 700 Zugriffe durchführe. Diese Zugriffe seien zumeist anlassbezogen, wenn ein Patient zur Behandlung da sei. Ausnahmsweise könne ein Zugriff auf die Daten anderer Patienten vorkommen, wenn Befunde ausständig seien, wenn man den Operationstermin verschieben müsse, wenn sich Patienten telefonisch meldeten. Auf die Frage, ob er die Beschwerdeführerin im Nachtdienst im XXXX schon gekannt habe, antwortete der Zeuge "vom Sehen schon, vom Namen sicher nicht". Er könne ausschließen, dass er auf die Daten der Beschwerdeführerin Zugriff genommen habe; er hätte Vornamen und Nachnamen und Geburtsdatum kennen müssen. Wissentlich kenne er die Beschwerdeführerin, seit er Assistent in der XXXX sei, seit August 2014. Die Beschwerdeführerin führte dazu aus, dass sie gemeinsam mit L. Dienst gehabt habe. Er habe die Anordnungen gegeben und sie habe sie durchgeführt. Während des Nachtdienstes seien nur mehr Schwester und Turnusarzt alleine auf der Station. Sie habe vermerkt, dass es in der Nacht nichts Auffälliges gegeben habe. Wenn wirklich so viel los gewesen wäre, dann hätte sie keine Zeit zum Jausnen gehabt. Es wäre denkbar, dass sie an einem anderen Gerät gearbeitet hätte, wenn so viel los gewesen wäre.

Der Datenschutzbeauftragte (im Folgenden R.) erklärte den Unterschied zwischen der nunmehr vorgelegten Liste und der früheren Liste. Man habe im alten Programm einzelne Fälle ausgewertet. Möglicherweise habe er den Auftrag gehabt, nur bestimmte Fälle auszuwerten. Die Auswertung sei damals sehr aufwändig gewesen. Zum Arbeiten unter fremder Kennung führte R. aus, dass es Probleme mit dem Abmelden gegeben habe. Die Beschwerdeführerin habe die Benutzerabmeldung mit dem Arztwechsel verwechselt. Früher habe es den Arztwechsel gegeben. Das heißt, man habe am Ambulanzschirm auf Arztwechsel gedrückt und habe dann die Leistung verbuchen können. Man sei dann unter fremder Kennung im System gewesen, früher habe es Sammel-User gegeben. Der Verwaltungsdirektor habe Zugriff auf die Daten sämtlicher Patienten. Normalerweise sollte er den Zugriff nicht brauchen. Vielleicht benötige er den Zugriff für Abrechnungen oder Statistiken. Auf das Einscannen der Befunde angesprochen, führte der Zeuge u. a. aus, dass es den XXXXbefund der Beschwerdeführerin gebe, dieser sei aber dem Betriebsarzt falsch zugewiesen.

Der Verwaltungsdirektor, der ebenfalls als Zeuge befragt wurde, führte aus, dass er auf keine Dokumente der Beschwerdeführerin zugegriffen habe, sondern lediglich auf die Übersichtsseite der Dokumente. Es sei notwendig gewesen, die Natur der Dokumente zu kennen, um die Fragen (der Datenschutzkommission, Anm.) zu beantworten. Mehr habe er auch nicht benötigt. Als Verwaltungsdirektor habe er die Möglichkeit, auf die Patientendaten zuzugreifen. Es gebe Geschäftsfelder, wo dies notwendig sei. Er habe behördliche Anfragen zu beantworten. Der Datenschutzbeauftragte und die Geschäftsstelle hätten diese Möglichkeit auch. Die Anordnung eines XXXX sei eine Angelegenheit des ärztlichen Bereiches.

41. Mit Schreiben vom 09.05.2016 erteilte das Bundesverwaltungsgericht an die mitbeteiligte Partei den Auftrag, bestimmte Dokumente (z.B. näher bezeichnete Protokolllisten) vorzulegen. Dieser Aufforderung wurde mit Schreiben vom 25.05.2016 entsprochen. Aus den vorgelegten Zugriffslisten ist ersichtlich, dass mit der Benutzerkennung der Beschwerdeführerin am 16.XXXX in der Zeit von 00:00 bis 09:00 Uhr keine Zugriffe vorgenommen wurden. Allerdings löse das Auflisten des so genannten Order-Monitors (Liste aller wartenden Patienten) beispielsweise noch keine Protokollierung aus. Die Zugriffslisten des L. würden hingegen auf eine umfangreiche Tätigkeit hinweisen. Im Zeitraum zwischen 05:18 und 05:29 Uhr seien keine Dokumente mehr aufgerufen worden. Möglicherweise hätten in diesem Zeitraum andere Aktivitäten stattgefunden. Möglicherweise habe auch ein ungewollter Benutzerwechsel stattgefunden, indem der Benutzungskennungsinhaber verabsäumt habe sich abzumelden und die Beschwerdeführerin sodann an diesem Arbeitsplatz tätig geworden sei, ohne sich selbst anzumelden. Es sei dann der Patientenstamm der Beschwerdeführerin aufgerufen worden um sodann um 05:39 Uhr die Übersichtsseite der Beschwerdeführerin aufzurufen, um das Dokument "OP-Bilder" zu öffnen. Anschließend habe es in dieser Nacht keine dokumentenbezogenen Aktivitäten mehr an diesem Arbeitsplatz gegeben.

42. Mit Schreiben vom 30.05.2016 legte die Beschwerdeführerin unter anderem ein Konvolut von weiteren Vorbringen und Anträgen vor.

43. Mit Schreiben vom 31.05.2016 erstattete die Beschwerdeführerin weitere Vorbringen und stellte weitere Anträge. Die Vorbringen enthalten den Aktenvermerk darüber, dass am 06.XXXX der externe XXXX Befund der Beschwerdeführerin wiederum im System ersichtlich gewesen sei.

44. Mit Schreiben vom 14.06.2016 gab die Beschwerdeführerin eine Reihe von Stellungnahmen ab und stellte mehrere Anträge. Darin bestritt sie die Echtheit der vorgelegten Protokolllisten. Eine Anmeldung von Patienten müsse ihrer Meinung nach auch protokolliert werden. Selbst wenn sie in diesem Nachtdienst mit fremder Benutzerkennung gearbeitet hätte, müssten Zugriffe von ihr protokolliert sein, weil nur das Ambulanz- Pflegepersonal über einen bestimmten Button verfüge, der zur Patientenaufnahme zwingend benötigt werde, der ihres Wissens aber den Ärzten nicht verfügbar sei.

45. Mit Schreiben vom 15.06.2016 stellte die Beschwerdeführerin eine Reihe von Anträgen, die sich auf eine Empfehlung der Datenschutzkommission vom 23.05.2016, Zl. DSB-D210.783/0004-DSB/2016, bezogen.

46. Am XXXX fand die Fortsetzung der mündlichen Verhandlung statt, in welcher auf Antrag der Beschwerdeführerin nochmals der Verwaltungsdirektor einvernommen wurde. Er wiederholte seine Aussage, dass er auf die Dokumentenliste Zugriff genommen, nicht aber in Gesundheitsdaten der Beschwerdeführerin Einsicht genommen habe. Angesprochen auf den XXXX behauptete der Zeuge, dass das Haus diese Anforderungen nicht mehr habe. Angesprochen darauf, warum er von H. und S. schriftliche Stellungnahmen eingefordert habe, mit L. aber persönlich gesprochen habe, führte er aus, dass die beiden erstgenannten Ärzte den größeren Bezug zu den Patientendaten der Beschwerdeführerin hätten. Bei L. habe er diesen Bezug nicht gesehen, deswegen habe er mit ihm persönlich sprechen wollen. Die Beschwerdeführerin behauptete, anhand ihres Screenshots beweisen zu können, dass mit dem Patientenexplorer alle Befunde automatisch bis ins kleinste Detail gezeigt würden. Bei Anklicken eines Dokumentes erscheine sofort der dazugehörige Befund. Man könne anhand der Zugriffslisten in der Beilage 9 ersehen, was der Verwaltungsdirektor alles eingesehen habe.

47. Mit Schreiben vom 27.06.2016 erstattete die Beschwerdeführerin ein ergänzendes Vorbringen mit Anträgen und legte - wie vom Bundesverwaltungsgericht angeordnet - die an die belangte Behörde und die mitbeteiligte Partei gerichteten Fragenkataloge vor.

48. Mit Schreiben vom 03.08.2016 wurden die mitbeteiligte Partei und die belangte Behörde aufgefordert, zwecks Erleichterung und Effizienzsteigerung in der nächsten mündlichen Verhandlung den jeweiligen Fragenkatalog - soweit verfahrensrelevant - zunächst schriftlich zu beantworten.

49. Mit Schreiben vom 05.08.2016 ersuchte das Bundesverwaltungsgericht die mitbeteiligte Partei um die Vorlage weiterer Informationen, insbesondere auch um die Vorlage von Beweisen, wer aus welchem Grund den XXXX in Auftrag gegeben habe und ob dies für die ärztliche Behandlung bzw. die Führung der Krankengeschichte erforderlich gewesen sei.

50. Mit Schreiben vom 23.08.2016 ersuchte die mitbeteiligte Partei um Auskunft, ob für die Erfüllung des entsprechenden Auftrages zur Beweismittelvorlage (bezüglich des XXXX) seitens der Verwaltungsdirektion auf die Urkunden in der Krankengeschichte der Beschwerdeführerin zugegriffen werden dürfe und solle. Dies wurde vom Bundesverwaltungsgericht dahingehend beantwortet, dass eine Einsichtnahme zulässig sei, soweit dies zur Beweiserbringung vor dem Bundesverwaltungsgericht notwendig sei. Diese habe auf die gelindeste Art und Weise zu erfolgen.

51. Mit Schreiben vom 22.08.2016 stellte die Beschwerdeführerin Anträge, die sich auf die Übermittlung von Aktenstücken bezogen.

52. Mit Schreiben vom selben Datum stellte die Beschwerdeführerin einen weiteren Antrag bzw. erstattete weitere Vorbringen, die sich auf den XXXX und die Stellung des Verwaltungsdirektors bezogen.

53. Mit Schreiben vom 26.08.2016 ersuchte das Bundesverwaltungsgericht die mitbeteiligte Partei um die Übermittlung weiterer Unterlagen.

54. Mit Schreiben vom 26.08.2016 übermittelte die Beschwerdeführerin einen umfangreichen Schriftsatz, in dem sie mittteilte, dass ihr Arbeitgeber sie fristlos entlassen habe. Weiters nahm die Beschwerdeführerin zur Niederschrift der mündlichen Verhandlung vom

XXXX Stellung und stellte eine Reihe von Anträgen.

55. Mit Schreiben vom 02.09.2016 nahm die mitbeteiligte Partei zu den vom Bundesverwaltungsgericht gestellten Fragen Stellung und legte unter anderem einen Plan jener Räume vor, in denen sich die Arbeitsstellen XXXX bis XXXX befinden. Weiters wurde zur Frage der Verantwortlichkeiten des Verwaltungsdirektors und des ärztlichen Direktors Stellung genommen.

56. Mit Schreiben vom 02.09.2016 wurde von der mitbeteiligten Partei eine weitere Mitteilung übermittelt, in der unter anderem behauptet wurde, dass sich aufgrund einer genaueren Analyse nunmehr zeige, dass im Order-Monitor des Patienten, auf dessen Daten vor dem Aufruf der Daten der Beschwerdeführerin zugegriffen wurde, Aufträge unter der Arztnummer XXXX (zugeordnet der Beschwerdeführerin) aufschienen, aber im Übrigen keine Dokumentenzugriffe mit ihrer eigenen Kennung. Dies lege nahe, dass die Beschwerdeführerin auch mit der Benutzerkennung des L. gearbeitet habe.

57. Mit Schreiben vom 05.09.2016 nahm die Beschwerdeführerin im Wesentlichen zur Beantwortung des Fragenkataloges durch die belangte Behörde Stellung und stellte einen weiteren Antrag.

58. Mit Schreiben vom selben Datum übermittelte die mitbeteiligte Partei eine Mitteilung, in der ausgeführt wurde, dass sich nach der Operation der Beschwerdeführerin eine Mitarbeiterin eine Stichverletzung mit einem blutigen Instrument zugezogen habe. Aus diesem Grunde sei der XXXX beauftragt worden. In solchen Fällen sei es üblich, Blut für die Laboranalyse vom narkotisierten Patienten im OP oder Aufwachbereich abzunehmen. Es sei daher davon auszugehen, dass dies auch im vorliegenden Fall so verlaufen sei und aus diesem Grunde die Beschwerdeführerin keine Erinnerung an die Blutabnahme habe. Eine Einverständniserklärung zur XXXX sei in solchen Fällen rechtlich nicht notwendig, da der Schutz der Gesundheit der verletzten Mitarbeiterin jedenfalls einen übergeordneten Stellenwert habe. Damit stehe fest, dass der Befund zur Beschwerdeführerin gehöre und daher auch jedenfalls Teil ihrer Krankengeschichte sei.

59. Mit Schreiben vom 13.09.2016 wurde die mitbeteiligte Partei um die Mitteilung des Namens und einer ladungsfähigen Adresse der Person gebeten, die bei der Operation der Beschwerdeführerin eine Nadelstichverletzung erlitten habe. Weiters wurde um Mitteilung gebeten, inwieweit sich aufgrund einer genaueren Analyse nunmehr zeige, dass die Beschwerdeführerin mehrfach unter fremder Benutzerkennung gearbeitet habe.

60. Mit Schreiben vom 15.09.2016 teilte die mitbeteiligte Partei den Namen der Bediensteten (im folgenden Q.) mit, die sich die Verletzung zugezogen habe und legte eine entsprechende Unfallmeldung vor.

61. Mit Schreiben vom 23.09.2016 erstattete die Beschwerdeführerin ein weiteres ergänzendes Vorbringen und stellte weitere Anträge, die sich in erster Linie auf die behauptete Stichverletzung der Bediensteten des Krankenhauses bezogen.

62. Mit Schreiben vom 26.09.2016 erstattete die Beschwerdeführerin ein weiteres ergänzendes Vorbringen und stellte weitere Anträge, wobei sich die Ausführungen vor allem auf mangelhafte Datensicherheitsmaßnahmen im Krankenhaus, insbesondere auf externe Zugriffe bezogen.

63. Am XXXX fand die Fortsetzung der mündlichen Verhandlung statt.

Im Rahmen dieser Verhandlung wurde S. als Zeuge befragt und gab an, dass die Beschwerdeführerin und er nach der Operation in Kontakt geblieben seien und sie die Frage gestellt habe, warum ein XXXX durchgeführt worden sei. Er habe in seiner Abteilung gefragt, ob jemand eine Nadelstichverletzung erlitten habe, es habe jedoch niemand gesagt, dass dies der Fall gewesen sei. Er habe versucht, auch in der Aufwachstation zu eruieren, ob das passiert sei, dies sei jedoch auch ohne Ergebnis geblieben. Auf Befragung teilte S. mit, dass er damals nicht die Betriebsärztin befragte. Die XXXX Abteilung erfahre nichts davon, wenn in der Zentralsterilisation etwas passiere. Die Instrumente würden nach der Operation in einen Korb eingeworfen und kämen in die Sterilisationsreinigung. Die Frage, ob ein derartiger XXXX relevant für die Krankengeschichte der Beschwerdeführerin sei, verneinte S. Für den eigentlichen Fall sei der Befund egal. Wenn die Nadelstichverletzung ergeben hätte, dass die Patientin XXXX sei, wäre der Fall anders gelagert. Auf die Frage, welche Dokumente gespeichert würden, führte S. aus, dass alles, was an Befunden vorhanden sei, in der Krankengeschichte der Patientin sein sollte. Auf die Frage, ob dies nicht ein Widerspruch zu seiner früheren Aussage sei, meinte der Zeuge, dass auch der XXXX wichtig sei, es jedoch die Frage sei, wer dieses Dokument einsehen dürfe. Die Zugriffsberechtigungen müssten nicht sämtliche Ärzte und Pflegebedienstete haben. Auf die Frage, wie lange es im Schnitt dauere, bis externe Befunde eingespeichert würden, antwortete S., dass dies zwischen zwei Stunden und drei Monaten variiere. Dass das Testergebnis siebeneinhalb Monate später ins System komme, sei eher ungewöhnlich. Wenn bei der Patientin Blut abgenommen würde, sei das zu dokumentieren. Es gebe ein Anästhesie-Protokoll und ein Aufwach-Protokoll. Nach der Operation würden die Patienten in den Aufwach-Raum gebracht und zwei bis drei Stunden später auf die Station. Im Falle einer Nadelstichverletzung müsse die Patientin informiert werden. Diese Blutabnahme müsse auch dokumentiert sein. Er habe auch H. gefragt, ob ihm etwas erinnerlich sei. Dieser habe aber auch nichts gewusst. Zum externen XXXX Befund befragt teilte der Zeuge mit, dass es sich dabei um einen XXXX handle, der aufgrund einer Routineuntersuchung erstellt werde, die man bei jeder Patientin brauche. Man benötige das in der Dokumentation. Dieses Dokument habe nichts beim Betriebsarzt zu suchen.

S. führte weiters auf Frage der Beschwerdeführerin aus, dass sie schlechte Erfahrungen bezüglich der Einsichtnahme in die Dokumentation XXXX gemacht habe. Sie hätten daher mit der Verwaltungsdirektion vor der Operation vereinbart, dass die Dokumente der Beschwerdeführerin gesperrt werden sollten. Das habe zunächst gut geklappt, aber die Dokumente seien dann eingescannt worden. Dass die OP-Bilder und auch der externe Befund der XXXXnicht gesperrt waren, sei auch schon nicht vereinbarungsgemäß gewesen. Der XXXXbefund sei Voraussetzung für die Operation der Beschwerdeführerin gewesen. Es sei vereinbart worden, dass alles in Papierform aufbewahrt würde. Auf die Frage, wer das primär abkläre, wenn strittige Befunde in der Geschichte enthalten seien, antwortete S., dass dies eine medizinische Angelegenheit sei. Für die Verwaltung sei der XXXX uninteressant. Die Frage, ob die Tatsache, dass S. nicht auf alle Dokumente zugreifen konnte, der Anlass dafür gewesen sei, dass die Dokumente entsperrt worden seien, bejahte der Zeuge. Er selbst habe aufgrund eines Telefonats oder der E-Mail-Anfrage der Beschwerdeführerin Einsicht in die Dokumente genommen. Er habe immer nur zugegriffen, wenn die Beschwerdeführerin und er vorher kommuniziert hätten.

Weiters wurde der Leiter des Labors (im Folgenden: P.), in dem der XXXX hergestellt wurde, als Zeuge vernommen, der den Ablauf im Labor darstellte. Er habe einen Anforderungsbeleg bezüglich der Beschwerdeführerin gefunden. Sie hätten die Anforderung am XXXX um 13:00 Uhr aufgenommen. Angekommen sei die Anforderung schon ca. eine halbe Stunde vorher. Als Zuweiser sei die Betriebsärztin des Krankenhauses eingetragen gewesen. Dem Zeugen wurde aufgetragen, dem Bundesverwaltungsgericht Auskunft darüber zu geben, ob zwischen XXXX und XXXX eine Blutprobe von Q. angefordert wurde.

Die Betriebsärztin (im Folgenden: B.) führte in ihrer Einvernahme als Zeugin aus, dass die Anforderung des XXXX der Beschwerdeführerin in ihrem Namen ergangen sei. Der Unfall sei am XXXX erfolgt. Sie gehe davon aus, dass ein Anästhesist, der im Aufwachraum anwesend gewesen sei, die Blutabnahme angeordnet habe. B. sei nur XXXX anwesend. Q. und sie hätten gemeinsam die Anzeige ausgefüllt. Sie wisse nicht, ob es eine Dokumentation gebe, dass der Beschwerdeführerin Blut abgenommen worden sei. Auf die Frage, warum auf der Anforderung der Name der Betriebsärztin, nicht aber die eines Arztes bzw. eine Unterschrift angebracht sei, meinte die Zeugin, dass ihr Name dort nicht stehen müsse. Es müsse der Name des behandelnden Arztes dort stehen und dieser davon in Kenntnis gesetzt werden. Die Patientin wäre zu fragen gewesen. Möglicherweise sei sie im Aufwachraum gefragt worden, könne sich aber nicht mehr daran erinnern. Auf den Vorhalt, dass man die Patientin bei vollem Bewusstsein hätte fragen können, da die Blutprobe erst am XXXX übermittelt worden sei, führte B. aus, dass man versuche möglichst schnell zu einer Blutprobe zu kommen, weil eine allfällige Prophylaxe möglichst früh zum Einsatz kommen solle. Auf die Frage, ob der XXXX Befund der Beschwerdeführerin eine Zeit lang bei ihr gespeichert gewesen sei, meinte B., dass sie davon nichts wisse. Über die Patientin habe sie nur gespeichert, dass sie sich bei einem Arbeitsunfall 1997 gestochen habe. Von der Nadelstichverletzung im Jahre XXXX sei nichts gespeichert, weil die Beschwerdeführerin als Patientin und nicht als Angestellte betroffen gewesen sei. Sie wisse nicht, wer in ihrem Namen einen XXXX angefordert habe. Ihre Vorgabe sei, dass das ein Arzt machen solle und dass der Patient aufgeklärt werden müsse. Dem werde normalerweise auch entsprochen. Der Befund der Q. sei bei B. eingelangt und von ihr gespeichert wurden, aber nicht in Patidok. Sie verwende ein "selbstgeschnitztes" System, das XXXX vor 20 Jahren entworfen habe. Auf Befragung führte B. aus, dass es im Intranet eine Handlungsanordnung gebe, was genau im Verletzungsfall zu tun sei. Diese habe es auch bereits XXXX gegeben. Sie wisse, dass die Einwilligung des Patienten einzuholen sei. Wenn es um das Recht desjenigen gehe, sich zu schützen und eine Prophylaxe einzunehmen, dann könne man davon abgehen. Auf die Frage, ob das abgenommene Blut nicht am selben Tag noch verschickt worden sein müsste, antwortete B., dass die Blutproben zu Mittag wegtransportiert würden. Vielleicht sei sich das an dem Tag nicht mehr ausgegangen.

Q. führte in ihrer Zeugenaussage aus, dass sie sich nach der OP der Beschwerdeführerin mit einer spitzen XXXX gestochen habe. Sie sei zu einem Arzt in der Aufwachstation gegangen. Dieser habe ihr Blut abgenommen. Ob er auch der Beschwerdeführerin Blut abgenommen habe, wisse sie nicht. Der Dienst habende Arzt müsse das machen. Das müsse auch der Betriebsärztin gemeldet werden. Sie wisse nicht, welcher Arzt den XXXX angefordert habe. Die Zeugin zeigte dem erkennenden Senat ihren Befund, auf dem ersichtlich war, dass er vom XXXX stammte.

Der erkennende Senat stellte eine Reihe von Fragen an die mitbeteiligte Partei, die jedoch von dieser nicht ad hoc beantwortet werden konnten, weshalb vom Gericht die Übersendung eines schriftlich zu beantwortenden Fragenkataloges angekündigt wurde.

Die Beschwerdeführerin stellte den Antrag, einen unabhängigen deutschen gerichtlich beeideten Sachverständigen zu bestellen und in das Krankenhaus zu schicken, damit dieser feststelle, auf welche Patientendaten Zugriffe getätigt worden seien.

Die belangte Behörde verwies auf ihre Eingabe, in der bereits der Verfahrensgegenstand nach ihrer Ansicht definiert worden sei.

Die mitbeteiligte Partei führte auf Frage der Beschwerdeführerin aus, dass nach der Anstaltsordnung die Vertretung nach außen durch den Verwaltungsdirektor erfolge, soweit sie nicht den Organen des Rechtsträgers vorbehalten sei. Zum Aufgabenbereich des Verwaltungsdirektors gehöre insbesondere das Beschwerdemanagement.

Auf Frage der Vorsitzenden an die Beschwerdeführerin, ob es nicht denkbar wäre, dass L. nach seiner letzten Aktivität betreffend eines Patienten den Raum verlassen habe und sie am Computer XXXX unter ihrer Anmeldung, aber unter seiner Kennung weitergearbeitet habe, antwortete die Beschwerdeführerin, dass sie dies ausschließen könne, weil sie sich des Problems bewusst gewesen sei, dass jemand anderer einer Datenschutzverletzung beschuldigt werden könne. Darum sei sie besonders vorsichtig gewesen. Weiters führte sie aus, dass höchstwahrscheinlich sie diejenige gewesen sei, die die Anmeldungen der Patienten vorgenommen habe, da L. ihres Wissens keinen Anmelde-Button habe und ihre ebenfalls Dienst habende Kollegin sich in ein anderes Zimmer zurückgezogen hatte.

64. Mit Schreiben vom 30.09.2016 wurde dem Bundesverwaltungsgericht vom Labor P. der Anforderungsbeleg der Zeugin übermittelt, die sich nach ihren Angaben mit einem Operationsgerät gestochen hatte.

65. Am 18.10.2016 nahm die Beschwerdeführerin XXXX Akteneinsicht in den gegenständlichen Gerichtsakt.

66. Mit Schreiben vom 17.10.2016 nahm die Beschwerdeführerin zum Schriftsatz der mitbeteiligten Partei vom 01.09.2016 Stellung.

67. Mit Schreiben vom 18.10.2016 nahm die Beschwerdeführerin zum Schriftsatz der mitbeteiligten Partei vom 02.09.2016 Stellung.

68. Mit Schreiben vom 20.10.2016 nahm die Beschwerdeführerin zum Schriftsatz der mitbeteiligten Partei vom 09.09.2016 Stellung.

69. Mit Schreiben vom 21.10.2016 nahm die Beschwerdeführerin zum Schreiben des Labors vom 30.09.2016 Stellung.

70. Mit Schreiben vom 18.11.2016 nahm die Beschwerdeführerin zum Entwurf der Niederschrift über die Verhandlung am XXXX Stellung.

71. Mit Schreiben vom 22.11.2016 brachte die Beschwerdeführerin ein umfangreiches ergänzendes Vorbringen zum Inhalt der Niederschrift über die mündliche Verhandlung vom XXXX vor, an das Anträge und Beilagen angeschlossen waren.

72. Mit Schreiben vom 23.11.2016 übermittelte das Bundesverwaltungsgericht einen umfangreichen Fragenkatalog an die mitbeteiligte Partei.

73. Dazu erging mit Schriftsatz vom 21.12.2016 seitens der mitbeteiligten Partei eine Antwort samt Beilagen und Anträgen.

74. Mit Schreiben vom 29.12.2016 brachte die Beschwerdeführerin eine "substantielle Neuerung" samt Anträgen und Beilagen ein. Darin nahm sie insbesondere auf die Anstaltsordnung für das Krankenhaus Bezug, wonach in der alten Fassung kein Beschwerdemanagement durch den Verwaltungsdirektor vorgesehen gewesen sei.

75. Mit Schreiben vom 30.12.2016 wurde von der Beschwerdeführerin ein weiteres "ergänzendes Vorbringen" samt Anträgen und einer neuen Beilage vorgelegt.

76. Mit Schreiben vom 04.01.2017 wurde von der mitbeteiligten Partei ein "Vorbereitender Schriftsatz" samt Urkundenvorlage übermittelt.

77. Am XXXX fand die Fortsetzung der mündlichen Verhandlung statt.

Dort legte die Beschwerdeführerin ein Vorbringen zur mündlichen Verhandlung am XXXX sowie drei weitere Schriftsätze vor. Diese beinhalteten Repliken zu den Schriftsätzen der mitbeteiligten Partei vom 21.12.2016 und 04.01.2017 sowie ein weiteres ergänzendes Vorbringen und eine Reihe von Anträgen und Beilagen.

Der neuerlich als Zeuge einvernommene Datenschutzbeauftragte R. führte aus, dass der im Jahre XXXX noch aktive Patientennavigator die Fälle in einer Baumstruktur darstellte. Man habe innerhalb der Fälle navigieren und Diagnose und Dokumente einsehen können. Um ein Dokument zu öffnen, habe man doppelklicken müssen. Dann sei das Dokument im Bearbeitungsmodus aufgegangen. Man habe allerdings Teile des Dokumentes und des Dokumenteninhaltes auch in einer Vorschau sehen können. Die eingescannten Dokumente habe man nicht (in einer Vorschau) einsehen können, bei diesen habe man doppelklicken müssen. Der Patientennavigator sei inzwischen - er glaube, es sei Mitte XXXX gewesen - deaktiviert worden. Auf die Frage, ob es ausgemacht gewesen sei, dass die Krankendokumente der Beschwerdeführerin für andere Teilnehmer des Systems gesperrt blieben, führte der Zeuge aus, dass es XXXX eine solche Vereinbarung gegeben habe. Soweit er wisse, sei das mit der Patientenadministration und dem Archiv vereinbart worden. Es sei schon lange her gewesen, dass es diese Vereinbarung gegeben habe. Er wisse aber nicht, wann diese Vereinbarung aufgelöst und wann das entschieden worden sei. Diese Sperre sei organisatorisch nicht zu handhaben. Wenn jemand das Dokument benötige, könne es nur derjenige entsperren, der die Sperre veranlasst habe. Die Beschwerdeführerin führte aus, dass ihr von der Patientenadministration am XXXX2005 und im Jahre XXXX eine Sperrung noch einmal zugesichert worden sei. Der Vertreter der mitbeteiligten Partei verwies darauf, dass die Beschwerdeführerin vom Verwaltungsdirektor ein E-Mail bekommen habe, dass das nicht möglich sei. Die Beschwerdeführerin wies darauf hin, dass ihre Antwort auf diese E-Mail nie beantwortet worden sei.

Auf Befragung führte R. aus, dass das System der Betriebsärztin von Patidok getrennt sei, aber dass es gewisse Laborbefunde gebe, die im Haus gemacht würden. Dazu gebe es eine eigene Abteilung "Betriebsarzt", die auch in Patidok so angelegt worden sei. Die Laborsoftware schicke den Befund an Patidok an die Abteilung 20 "Betriebsarzt". Im Berechtigungskonzept sei diese Abteilung für Pflegepersonal und Ärzte nicht zugelassen, sondern nur für Archiv und Sekretariat. Auch bei betriebsärztlichen Fällen sei mitprotokolliert worden. Diese Fälle seien inzwischen ausgeblendet und mit "XXX keine Berechtigung" bezeichnet. Im Patientennavigator habe es die Möglichkeit gegeben, auch auf betriebsärztliche Dokumente zuzugreifen, allerdings nur mit Doppelklick. Dies sei auch im Protokoll ersichtlich. Auf Hinweis der Beschwerdeführerin, dass ihr Abruf des internen XXXX Befund des Krankenhauses als XXXX Befund bei dem Dokumentenzugriff vom 22.XXXX2014 aufgeschienen sei, führte der Zeuge aus, dass es sich laut der Firma XXXX um einen Software-Fehler gehandelt habe. Soweit er sich erinnern könne, sei der XXXX Befund mittlerweile auf Antrag aus dem System entfernt worden. Er glaube, er sei storniert worden. Damals sei er allerdings dem Betriebsarzt zugeordnet gewesen.

Auf die Funktion des "Arztwechsels" angesprochen teilte der Datenschutzbeauftragte mit, dass es diese Funktion früher im Order-Monitor gegeben habe. Man habe durch Eingabe einer Arztnummer einen Arztwechsel durchführen können, ohne dass ein Benutzerwechsel durchgeführt worden sei. Das heiße, es sei immer derselbe Benutzer angemeldet gewesen, es sei aber unter einer anderen Arztnummer gearbeitet worden. Der Arztwechsel sei inzwischen nicht mehr möglich. Auf den Vorhalt, dass der Verwaltungsdirektor unter Berufung auf ihn gesagt habe, dass es viele Tätigkeiten gebe, bei denen keine Dokumente eingesehen und die daher nicht protokolliert würden, wie die Anmeldung von Patienten, nun sich aber herausgestellt habe, dass diese Anmeldungen sehr wohl unter der Arztnummer protokolliert würden, führte R. aus, er könne nur mutmaßen, dass ein Arztwechsel stattgefunden habe. L. sei angemeldet gewesen und die Beschwerdeführerin habe einen Arztwechsel durchgeführt. Auf Befragen führte der Zeuge aus, dass im Order-Monitor nicht festgestellt werden habe können, unter welcher Benutzerkennung gearbeitet worden sei. Dies sei historisch bedingt, da es früher Sammel-User gegeben habe.

Dem Zeugen wurde vorgehalten, dass aus dem vorgelegten Auszug aus dem Order-Monitor ersichtlich sei, dass zwischen 03:51 und 5:45 Uhr keine Order erstellt worden seien und dass nach einer Inaktivität von 10 Minuten der Zugang unter der Benutzerkennung gesperrt sein müsste, und die Frage gestellt, welche anderen Aktivitäten L. gesetzt haben könnte, die dazu geführt haben könnten, dass die Inaktivität nicht zu einer Zugangssperre geführt habe. Dazu meinte der Zeuge, er könne ein Dokument geschrieben oder diktiert haben. Er könne auch Leistungen dokumentiert haben, theoretisch reiche es aus, in den Order-Monitor hinein zu klicken, dann beginne der Zähler neu zu laufen.

Befunde, die vom externen Labor P. an eine zentrale Mailbox zurückgesendet werden, würden anhand der Fallzahl (unter dem Fall Betriebsarzt) zum Patienten ins Patidok übernommen. Es gebe eine Ausnahme: Fälle, die nicht zugeordnet werden könnten, würden ausgedruckt und händisch eingescannt werden. Der Zeuge bekräftigte auf Befragen durch die Beschwerdeführerin, dass es sich beim Verschwinden und Wiederauftauchen des XXXX Befundes um einen Systemfehler gehandelt habe. Was die Strukturänderung der Protokolllisten betreffe, so habe er diese selbst in Auftrag gegeben.

Weiters wurden zwei Bedienstete der Softwarefirma XXXX, die das Krankenhaus seit mehreren Jahren serviciert, als Zeugen einvernommen. Auf die Frage, was konkret protokolliert werde, führte einer der Zeugen aus, dass die Zugriffsdokumentation im Prinzip konfigurierbar sei. Die Firma stelle das Tool zur Verfügung, die Konfiguration geschehe meistens durch den Kunden selbst. Offenbar habe der Kunde entschieden, dass die Anforderungsprotokollierung nicht aktiviert worden sei, die Dokumenten-Zugriffsprotokollierung aber schon. Zur Sperrung der Krankenunterlagen führten sie aus, dass es die Möglichkeit gebe, bestimmte Dokumente zu sperren. Den Auftrag zur Änderung der Zugriffsprotokollierung im Jahre XXXX habe nicht die Firma gegeben. Auf die Frage der Beschwerdeführerin, wie Mehrfachprotokollierungen pro Sekunde auf der Zugriffsliste entstünden, wurde von den Zeugen ausgeführt, dass im Falle, dass die Dokumentenliste geöffnet werde, alle Dokumente zum Patienten eingelesen würden. Zur Laufzeit würden aber sofort die Berechtigungen geprüft. Die Daten würden eingelesen, geprüft und allenfalls wieder ausgeblendet, wenn der Betreffende keine Zugriffsberechtigung habe. Bei der Arztwechselfunktion handle es sich um die Funktion, die die IT im Haus von sich aus ändern könne. Auf die Frage der Vorsitzenden, ob man herausfinden könne, unter welcher Benutzerkennung die konkreten unter der Arztnummer XXXX durchgeführten Order erfolgt und welche Order unter der Arztnummer des L. erfolgt seien, führten die Zeugen aus, dass man dies allenfalls technisch eruieren könne, indem man die Historisierungsdaten auswerte. Die Zeugen wurden um eine entsprechende Auswertung ersucht. Die mitbeteiligte Partei sagte zu, die Arztnummer des L. mitzuteilen.

Die Beschwerdeführerin bekräftigte auf Befragen mehrmals, absolut ausschließen zu können, in der Nacht auf den 16.XXXX Einsicht in ihre Daten genommen zu haben. Sie sei mit einer Patientenanmeldung immer eine gewisse Zeit befasst gewesen. Es sei ein sehr turbulenter Nachtdienst gewesen. An solchen intensiven Nachtdiensten setze man sich gern ein paar Minuten hin und suche keine Dokumente. Sie könne ausschließen, in dieser Nacht zugegriffen zu haben. Sie habe am

12. XXXX auf ihre Daten zugegriffen und wisse auch, warum sie das gemacht habe. Das stehe im Zusammenhang mit ihrem Auskunftsbegehren bezüglich der Zugriffsprotokollierungen. Sie habe die Zugriffsliste vom Datenschutzbeauftragten erhalten und sich vergewissern wollen, dass die Zugriffe protokolliert würden, nachdem sie die Liste bekommen habe. Der erkennende Senat beschloss, keine weiteren Zeugenladungen auszusprechen und die mündliche Verhandlung zu schließen. Es würden schriftliche Aufträge an einige Zeugen und die mitbeteiligte Partei erfolgen und nach Vorliegen allfälliger Stellungnahmen würde das Ermittlungsverfahren geschlossen werden.

78. Mit Schreiben vom 27.01.2017 ergingen vom Bundesverwaltungsgericht weitere Fragen an R. bzw. die Bediensteten der Softwarefirma, die als Zeugen bei der Verhandlung am XXXX geladen gewesen waren, sowie an die mitbeteiligte Partei.

79. Mit Schreiben der mitbeteiligten Partei vom 01.02.2017 wurde die Arztnummer des L. mitgeteilt.

80. Mit Schreiben vom 01.02.2017 wurden von der Beschwerdeführerin Anträge auf Richtigstellung zum Inhalt der Niederschrift von der mündlichen Verhandlung vom XXXX gestellt. Sie habe zu 100% ausgeschlossen, dass sie im Nachtdienst am 16.XXXX Zugriffe auf ihre Behandlungsdaten durchgeführt habe.

81. Die mitbeteiligte Partei nahm mit Schreiben vom 03.02.2017 zum von der Beschwerdeführerin in der mündlichen Verhandlung am XXXX vorgelegten Schriftsatz Stellung.

82. Mit Schreiben vom 13.02.2017 erstattete die mitbeteiligte Partei eine Äußerung zum Vorbringen der Beschwerdeführerin vom 01.02.2017 und stellte den Antrag, keine Richtigstellung der Niederschrift der mündlichen Verhandlung wegen Unrichtigkeit vorzunehmen.

83. Mit Schreiben vom 15.02.2017 erfolgte die Antwort der bei der Softwarefirma beschäftigen Zeugen zu den Fragen des Bundesverwaltungsgerichtes. Die unter der Arztnummer der Beschwerdeführerin am 16XXXX getätigten Orders seien unter der Benutzerkennung der Beschwerdeführerin erfolgt.

84. Aufgrund eines weiteren Schreibens des Bundesverwaltungsgerichtes an die bei der Softwarefirma beschäftigten Zeugen teilten diese mit Schreiben vom 04.04.2017 mit, dass die Annahme, dass die Beschwerdeführerin bei Erstellung der Orders unter eigenem User-Login eingestiegen war, technisch richtig sei. Es wäre aber nie auszuschließen, dass jemand anderer als der User sich mit dessen User-Login anmelde und im System arbeite. Auch könnte sich jemand an einen unbesetzten Arbeitsplatz mit "offenem System" setzen und dort unberechtigt das System benutzen. Weiters wurden die von L. am 16.XXXXzwischen 0:00 und 8:00 Uhr durchgeführten Orders mitgeteilt (wobei auch hier möglich sei, dass jemand anderer unter der User-Login eingestiegen sei oder an einem unbesetztem Arbeitsplatz mit "offenem System" unberechtigt das System benutzt haben könnte). Schließlich wurde mitgeteilt, dass bei der Zugriffsprotokollierung mit dem User-Login keine Arztnummer mitgespeichert werde.

85. Nachdem das Bundesverwaltungsgericht gemäß § 17 VwGVG iVm § 39 Abs. 3 AVG das Ermittlungsverfahren geschlossen hatte, erstattete die Beschwerdeführerin mit Schreiben vom 13.04.2017 weitere Anträge, denen jedoch kein nicht schon bekanntes relevantes Vorbringen zugrunde lag.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1. Die mitbeteiligte Partei verwendete (jedenfalls) in den Jahren

XXXX und XXXX das elektronische Patientendokumentationssystem "Patidok" zur Führung von Krankengeschichten der Patienten. Diese Daten waren jedenfalls bis Oktober XXXX grundsätzlich für die Ärzte und das Pflegepersonal einsehbar. Für eine Einsicht bedurfte es einer Patidok-Zugangsberechtigung mit Kennung und Passwort. Zugriffe auf Dokumente in Patidok wurden unter dem User-Login protokolliert, die Erstellung sogenannter "Orders" unter der Arztnummer des Arztes oder des Pflegepersonals.

2. Die Beschwerdeführerin versah bis XXXX 2016 beim Krankenhaus ihren Dienst als diplomierte Gesundheits- und Krankenschwester. Sie unterzog sich am XXXX einem operativen Eingriff im Krankenhaus, anlässlich dessen ihre Gesundheitsdaten in "Patidok" gespeichert wurden.

3. Die Beschwerdeführerin vereinbarte 2005 und - im Hinblick auf eine bevorstehende Operation - XXXX mit der Patientenadministration die Sperre ihrer Krankendokumente. In einem E-Mail vom 27.XXXX, also noch vor ihrer Operation, wurde die Beschwerdeführerin jedoch vom Verwaltungsdirektor darauf hingewiesen, dass eine Sperre der Dokumente nicht mehr vorgesehen sei, weil die Daten auch im Notfall bei einem Folgeaufenthalt verfügbar sein müssten. Einige Dokumente wurden in weiterer Folge dennoch gesperrt, diese Sperre war in Form von Kreisen mit Punkt bei den jeweiligen Dokumenten ersichtlich. Die Sperren wurden aber am 04.XXXX aufgehoben, nachdem S. im Zuge der (von der Beschwerdeführerin erbetenen) Nachforschungen, warum über sie ein XXXX eingeholt worden war, nicht auf gewisse Dokumente der Beschwerdeführerin zugreifen konnte. Die Krankendokumente der Beschwerdeführerin waren somit spätestens ab diesem Zeitpunkt für die zugriffsberechtigen Ärzte und Zugehörigen zum Pflegepersonal einsehbar.

4. Nachdem sich eine Bedienstete des Krankenhauses nach der OP der Beschwerdeführerin mit einem bei dieser Operation verwendeten Instrument verletzt hatte, wurde der Beschwerdeführerin ohne ihr Wissen am XXXX Blut abgenommen und dieses am folgenden Tag im Auftrag der Betriebsärztin zur Durchführung eines XXXX an das externe Labor P. gesendet. Die Beschwerdeführerin wurde auch nicht im Nachhinein über die Durchführung XXXX informiert. Das Ergebnis wurde im Krankenhaus archiviert und am 17.XXXX ohne Wissen und ohne Zustimmung der Beschwerdeführerin im Rahmen einer Fehlzuordnung zur Krankengeschichte der Beschwerdeführerin in Patidok eingescannt. Der Befund war in weiterer Folge für die Ärzte und das Pflegepersonal grundsätzlich einsehbar und war auf der Dokumentenliste auch bei den Zugriffen unter der Benutzerkennung des H., des S., des L. und des Verwaltungsdirektors für die Zugreifenden als XXXX sichtbar.

Es gibt eine schriftliche Anweisung der Betriebsärztin, die regelt, wie bei Nadelstichverletzungen vorzugehen ist, welche im Intranet des Krankenhauses abrufbar ist. Diese Handlungsanordnung existierte bereits im Jahr XXXX.

5. Ein von der Beschwerdeführerin vor der Operation beigebrachter externer XXXX Befund wurde ebenfalls zunächst in Papierform archiviert und am 17.XXXX eingescannt und im Rahmen einer Fehlzuordnung der Abteilung "Betriebsarzt" zugeordnet und dort bis mindestens 03.02.2016 gespeichert.

6. Die Beschwerdeführerin nahm wiederholt auf ihre eigenen Gesundheitsdaten Zugriff. Dabei bemerkte sie, dass sich ein ihr unbekannter XXXXBefund (XXXX) bei ihrer Krankengeschichte befand. Weiters stellte sie fest, dass auch der von ihr beigebrachte XXXX Befund eingescannt worden war. Dieses Dokument war nämlich trotz der Zuordnung zum "Betriebsarzt" für Ärzte und Pflegepersonal sichtbar.

7. Am 16XXXX wurde zwischen 05:39:10 Uhr und 05:39:19 Uhr unter der Benutzerkennung des L. Zugriff auf die Dokumentenliste und OP-Bilder der Beschwerdeführerin genommen. Die Beschwerdeführerin führte am 16XXXX zwischen 0:00 Uhr und 09:00 Uhr um 02:38, 02:42, 03:51 und 05:45 Uhr unter ihrer eigenen Benutzerkennung Orders durch. L. schloss nicht aus, es in der Nacht verabsäumt zu haben, sich im System beim Verlassen des Raumes abzumelden. Es kann nicht festgestellt werden, wer unter der User-Kennung des L. Zugriff auf die Daten der Beschwerdeführerin genommen hat.

8. Die Beschwerdeführerin ersuchte S. in einem E-Mail vom 06.XXXX, Einsicht in ihre eingescannte Krankenakte zu nehmen und Nachforschungen zu dem sie betreffenden im System bei ihrer Krankengeschichte befindlichen XXXXBefund durchzuführen, der ohne ihr Wissen eingeholt worden war und sich in Patidok befand. S. teilte dies auch seinem Abteilungsleiter H. mit. Am 07.XXXX nahm H. im Rahmen seiner Leitungsfunktion zwischen 10:29:25 Uhr und 10:34:00 Uhr Einsicht in die Dokumentenliste, die XXXX Fieberkurve, die alte gescannte Krankengeschichte, eine externe Zuweisung, in LAB sonstige externe Befunde, zweimal in den XXXX, in den Pflegeplan und die Anästhesieprotokolle der Beschwerdeführerin.

9. Am 09.XXXX nahm S. zwischen 21:06:25 Uhr und 21:10:31 Uhr im Rahmen seiner Nachforschungen, um die ihn die Beschwerdeführerin gebeten hatte, in die Dokumentenliste und den XXXX Arztbrief XXXX sowie den XXXX OP-Bericht der Beschwerdeführerin in Patidok Einsicht.

10. Am 13.XXXX nahm der Verwaltungsdirektor zwischen 10:09:10 Uhr und 14:39:31 Uhr mittels Patientennavigator zur Vorbereitung einer Stellungnahme an die Datenschutzkommission in einem von der Beschwerdeführerin angestrengten Verfahren in die Dokumentenübersicht über die Krankengeschichte der Beschwerdeführerin in Patidok Einsicht.

11. Der Beschwerdeführerin wurde in einem arbeitsgerichtlichen Verfahren von der mitbeteiligten Partei von sich aus angeboten, die sie betreffenden Dokumente aus dem IT-System zu löschen und lediglich auf Papierbasis verschlossen "im Keller" zu lagern. Dies wurde von der Beschwerdeführerin abgelehnt.

12. Der Verwaltungsdirektor des Krankenhauses war im gegenständlichen Gerichtsverfahren vor dem Bundesverwaltungsgericht für den Gemeindeverband vertretungsbefugt (wobei sich der Gemeindeverband im gegenständlichen Verfahren ab 01.02.2016 rechtsfreundlich vertreten ließ).

2. Beweiswürdigung:

2.1. Die Feststellungen gründen sich auf den Verwaltungsakt und den umfangreichen Gerichtsakt, insbesondere auch auf die Niederschriften über die mündlichen Verhandlungen. Weiters wurden die Akten der Datenschutzkommission DSK-K213.220-DSK/2013 sowie DSK-K121.990-DSK/2013 in das Verfahren eingebracht und zur Beweiswürdigung herangezogen.

Das Bundesverwaltungsgericht hält fest, dass sich die Feststellung des Sachverhalts einerseits insbesondere aufgrund der extrem umfangreichen und zahlreichen Schriftsätze der Beschwerdeführerin, die zu einem guten Teil unaufgefordert übermittelt wurden und zahlreiche Redundanzen und nicht verfahrensrelevante Ausführungen enthielten, sowie andererseits durch die Tatsache, dass die mitbeteiligte Partei zum Teil widersprüchliche Stellungnahmen abgab, mitunter Erklärungen schuldig blieb und manche Fragen erst nach insistierendem Nachfragen des Gerichtes beantwortete, besonders schwierig gestaltete.

2.2. Die Feststellungen zu den Punkten 1 und 2 ergeben sich aus den Verwaltungsunterlagen und dem Gerichtsakt. Dass jedenfalls bis XXXX die Ärzte und Pflegekräfte (wenngleich mittels eines individuellen Schlüssels) grundsätzlich dieselben technischen Zugriffsmöglichkeiten auf die Krankengeschichten hatten, ergibt sich aus dem Akt DSK-K213.220-DSK/2013. Die diesbezügliche Empfehlung der Datenschutzkommission erging mit Datum 09.10.2013, sodass - auch aufgrund des Antwortschreibens des Gemeindeverbandes (vertreten durch den Verwaltungsdirektor) an die belangte Behörde - daraus geschlossen werden kann, dass bis zu diesem Zeitpunkt jedenfalls kein der Empfehlung entsprechendes Rollenkonzept umgesetzt war. Auch gab der Verwaltungsdirektor in der mündlichen Verhandlung am XXXX an, dass alle, die im medizinischen Bereich mitwirken, Zugriff auf die 30 Jahre lang aufzubewahrenden Krankengeschichten haben. Im ärztlichen und pflegerischen Bereich gebe es ca. 180 Ärzte und um die 500 Pflegekräfte.

Die Art der Protokollierung ergibt sich aus den Protokolllisten (insbesondere Beilage 9 zur Niederschrift über die mündliche Verhandlung am XXXX), aus der Stellungnahme der mitbeteiligten Partei vom 02.09.2016 sowie den Ausführungen der Bediensteten der Softwarefirma XXXX in der mündlichen Verhandlung am XXXX und ihren schriftlichen Ausführungen vom 04.04.2017.

Zu den in der mündlichen Verhandlung am XXXX vorgelegten Protokolllisten und den daraus ersichtlichen Zugriffen wird festgehalten, dass das Bundesverwaltungsgericht von der Echtheit und Vollständigkeit dieser Listen ausgeht. Der Datenschutzbeauftragte des Krankenhauses hat hinsichtlich der Diskrepanz zu den früher der Beschwerdeführerin vorgelegten Listen glaubhaft ausgeführt, dass seinerzeit nur einzelne Fälle ausgewertet worden seien und dass erst seit relativ kurzer Zeit mittels eines anderen Programms Gesamtauswertungen auf einfache Weise möglich sind.

2.3. Die unter Punkt 3 getätigten Feststellungen ergeben sich aus den diversen Stellungnahmen der Beschwerdeführerin (u. a. Beilage ./143), der Stellungnahme der mitbeteiligten Partei vom 27.05.2016 und den Aussagen des Datenschutzbeauftragten in der mündlichen Verhandlung am XXXX, des Verwaltungsdirektors in der mündlichen Verhandlung am XXXX, des S. in der mündlichen Verhandlung am XXXX und den Protokolllisten (Beilage 9 zur Niederschrift über die mündliche Verhandlung am XXXX), auf denen am 04.XXXX diverse Zugriffe der XXXX (die laut der Aussage des Verwaltungsdirektors den Auftrag hatte, die Sperren aufzuheben) auf die Daten der Beschwerdeführerin ersichtlich sind. Dass gesperrte Dokumente mit Kreisen mit Punkt gekennzeichnet waren, wurde auch von den in der mündlichen Verhandlung am XXXX als Zeugen einvernommenen Software-Experten für wahrscheinlich erachtet.

2.4. Zu den Feststellungen zu Punkt 4 ist Folgendes auszuführen:

Wenngleich die mitbeteiligte Partei auch während des hier gegenständlichen Gerichtsverfahrens über längere Zeit hinweg behauptete, dass man überhaupt nicht wisse, wieso betreffend die Beschwerdeführerin ein XXXX angefordert wurde und sogar eine mögliche Verwechslung nicht ausgeschlossen werden könne (dies kommt auch in einem an die Patientenvertretung gerichteten E-Mail des Verwaltungsdirektors vom 06.08.2014 zum Ausdruck (Beilage ./615, übermittelt mit Schreiben der Beschwerdeführerin am 22.08.2016), wurde - allerdings erst auf wiederholtes und ausdrückliches Fragen des Gerichtes - schließlich von der mitbeteiligten Partei mitgeteilt, dass sich eine Bedienstete nach der Operation der Beschwerdeführerin in der Zentralsterilisaton an einem Operationsinstrument, das bei der Operation der Beschwerdeführerin verwendet worden war, verletzt habe. In der mündlichen Verhandlung am XXXX sagte Q. aus, dass es aufgrund des OP-Planes nachvollziehbar gewesen sei, von welcher Operation (welches Patienten) die Instrumente stammten. Die Befragung der Bediensteten, der Betriebsärztin und des Laborinhabers ergaben, dass der Beschwerdeführerin nach ihrer Operation am XXXX ohne ihr Wissen - vermutlich im Aufwachraum - Blut abgenommen wurde und dieses zur Durchführung eines XXXX an das externe Labor übermittelt wurde. In ihrem Beschwerdeverfahren bei der belangten Behörde legte die Beschwerdeführerin auch einen umfangreichen Ordner mit Beilagen vor, in dem sich auch ein E-Mail-Wechsel mit S. befindet, der von der Beschwerdeführerin gebeten worden war, nachzuforschen, wie es zu dem XXXX kam, der bei ihrer Krankengeschichte gespeichert war. Auch S. wies in seinem an die Beschwerdeführerin gerichteten Mail am 09.XXXX auf die Möglichkeit hin, dass die Verletzung einer oder eines Bediensteten "dem Betriebsarzt" gemeldet worden sein könnte. S. schlug - nachdem er "den Betriebsarzt" wegen dessen urlaubsbedingter Abwesenheit nicht erreicht habe und da er selbst in den nächsten Tagen auf Urlaub fahren würde - vor, dass die Beschwerdeführerin selbst "den Betriebsarzt" fragen solle, ob eine Nadelstichverletzung gemeldet worden sei (Mail vom 31.XXXX). Die Beschwerdeführerin schrieb am 07.XXXX an S., dass die Betriebsärztin nicht befugt sei, ihr über Nadelstichverletzungen anderer Bediensteter Auskunft zu geben. Weiters gab und gibt es eine schriftliche Anweisung der Betriebsärztin, wie bei Nadelstichverletzungen vorzugehen ist (Aussage des H. am XXXX und der Betriebsärztin am XXXX, wobei sie diese Anweisung auch vorlegte). Daher steht auch fest, dass ein derartiges Prozedere (Meldung an den Betriebsarzt bei einer Nadelstichverletzung udgl.) schon XXXX vorgesehen war. Dass der Grund für die Einholung des Tests den behandelnden Ärzten der Beschwerdeführerin bzw. den mit dem Beschwerdemanagement befassten Personen nicht schon längst bekannt war, lag offenbar darin, dass in den letzten Jahren niemand die Betriebsärztin nach einer Nadelstichverletzung im Zusammenhang mit der Operation der Beschwerdeführerin gefragt hatte.

Fest steht auch aufgrund der Angaben der Beschwerdeführerin und den Zeugenaussagen der Betriebsärztin und der behandelnden Ärzte, dass die Beschwerdeführerin nicht über den XXXX informiert wurde und dieser ohne ihr Wissen zu ihrer Krankengeschichte in Patidok abgespeichert wurde. Dass diese Zuordnung zur Krankengeschichte höchstwahrscheinlich versehentlich passierte, ergibt sich aus der Stellungnahme der mitbeteiligten Partei vom 21.12.2016.

2.5. Die unter Punkt 5 getroffenen Feststellungen entsprechen den Aussagen des Datenschutzbeauftragten und der Stellungnahme der mitbeteiligten Partei vom 21.12.2016 sowie dem E-Mail des Verwaltungsdirektors an die Beschwerdeführerin vom 03.02.2016 (Beilage ./589 der Beschwerdeführerin, vorgelegt in ihrem Schreiben vom 07.03.2016).

2.6. Die Feststellungen zu Punkt 6 ergeben sich aus den unwidersprochenen Angaben der Beschwerdeführerin selbst, die sie in schriftlichen Stellungnahmen und auch in der mündlichen Verhandlung vorbrachte, sowie aus der Aussage des R. in der Verhandlung am XXXX.

2.7. Die Feststellungen zu Punkt 7 ergeben sich aus den Angaben der Beschwerdeführerin, den von der mitbeteiligten Partei in der Verhandlung am XXXX vorgelegten Protokolllisten und den Stellungnahmen der bei der Softwarefirma XXXX beschäftigten Zeugen. Bezüglich des Zugriffs unter der Benutzerkennung des L. wurde von der mitbeteiligten Partei zunächst behauptet, dass die Beschwerdeführerin in der fraglichen Nacht auf ihre eigenen Dokumente zugegriffen habe und dies protokolliert sei. Nachdem die Beschwerdeführerin darauf hingewiesen hatte, dass ihre Zugriffe laut Protokollliste am 12.XXXX und nicht am 16.XXXX dokumentiert sind und dies auch vom Bundesverwaltungsgericht aufgegriffen worden war, wurde von der mitbeteiligten Partei eingeräumt, dass es sich bei ihren diesbezüglichen Behauptungen um einen Irrtum gehandelt habe. Die schriftlichen Stellungnahmen der mitbeteiligten Partei enthalten diesbezüglich - wie auch einige der Aussagen von bei der mitbeteiligten Partei beschäftigten Personen - die wiederkehrende Vermutung, dass die Beschwerdeführerin in jener Nacht unter fremder Kennung (nämlich der des L.) gearbeitet habe und daher - wenn auch unwissentlich - unter dieser fremden Kennung auf ihre eigenen Daten zugegriffen habe.

Wie sich aus den Stellungnahmen der bei der Softwarefirma tätigen Zeugen jedoch ergibt, wurden die Orders, die die Beschwerdeführerin in der Nacht auf den 16.XXXX erstellte, unter ihrem eigenen User-Login durchgeführt, sodass offensichtlich eine diesbezügliche Anmeldung erfolgte. Es wird daher vom Bundesverwaltungsgericht davon ausgegangen, dass die Beschwerdeführerin diese Orders durchgeführt hat. Insofern hat sich die Vermutung der mitbeteiligten Partei, dass die Beschwerdeführerin in dieser Nacht generell unter fremder Kennung gearbeitet habe, nicht erhärtet. Auch hat sich die Beschwerdeführerin sowohl in ihren schriftlichen Stellungnahmen als auch in der mündlichen Verhandlung vehement gegen die Annahme gewehrt, sie könne unter fremder Kennung auf ihre Daten zugegriffen haben. Weiters brachte die Beschwerdeführerin in ihrem Schreiben vom 22.11.2016 vor, dass sie normalerweise vor der Erstellung einer Order mit dem jeweiligen Patienten beschäftigt ist, was eine längere Zeit als sechs Minuten in Anspruch nehme (der Zugriff auf ihre Daten erfolgte um 05:39 Uhr, die nächste Order der Beschwerdeführerin wurde um 05:45 Uhr erstellt).

Andererseits stellte der unter Wahrheitspflicht als Zeuge einvernommene L. in Abrede, auf die Patientendaten der Beschwerdeführerin zugegriffen zu haben, und ist auch mittels der Zugriffsprotokollierungen nicht eruierbar, ob unter seiner Arztnummer zugegriffen wurde. Auch scheint L. das Motiv zu fehlen, auf die Daten der Beschwerdeführerin, die er kaum kannte und von der er höchstwahrscheinlich auch nicht wusste, dass sie Patientin im eigenen Krankenhaus gewesen ist, zuzugreifen. Auch wäre das Risiko, von der Beschwerdeführerin "ertappt" zu werden, relativ hoch, zumal sie gerade in diesem Nachtdienst die Aufträge des L. auszuführen und mit ihm zusammenzuarbeiten hatte und daher diesbezüglich mit ihm wiederholt im Kontakt stehen musste. Weiters ist ersichtlich, dass L. seinen letzten Zugriff vor dem gerügten Zugriff (der um 05:39 Uhr stattfand) um 05:18 Uhr von dieser Arbeitsstelle (XXXX) tätigte und sein nächster Zugriff nach dem gerügten Zugriff um 05:53 Uhr von einer anderen Arbeitsstelle (XXXX) erfolgte. Daraus ergibt sich, dass selbst dann, wenn man davon ausgeht, dass L. die Arbeitsstelle nicht sofort um 05:18 Uhr verlassen hat, weil dann aufgrund der Inaktivitätszeit von 10 Minuten der Zugang gesperrt gewesen wäre, es gerade im Hinblick auf die maßgebliche Zeit unmittelbar vor und nach dem gerügten Zugriff unklar ist, ob er überhaupt noch an der Arbeitsstelle (XXXX) arbeitete.

Es kann daher nicht festgestellt werden, ob L., die Beschwerdeführerin oder eine dritte Person am 16.XXXX unter der Kennung des L. auf die Daten zugegriffen hat und ob in diesem Zusammenhang eine Datenschutzverletzung begangen wurde.

2.8. Die Feststellungen zu Punkt 8 ergeben sich aus den von der mitbeteiligten Partei vorgelegten Protokolllisten (Beilage 9 zur Niederschrift über die mündliche Verhandlung am XXXX) sowie aus den Ausführungen des H. in der mündlichen Verhandlung am XXXX und des S. am XXXX. Die Tatsache, dass H. am 07.XXXXdie die Beschwerdeführerin betreffenden Dokumente eingesehen hat, ist dadurch erklärbar, dass S. bereits am 06.XXXX (erneut) von der Beschwerdeführerin gebeten wurde, Nachforschungen über den XXXX anzustellen und S. daraufhin mit H. über den (nicht erklärbaren) XXXX gesprochen hat.

2.9. Die Feststellungen zu Punkt 9 ergeben sich aus den von der mitbeteiligten Partei vorgelegten Protokolllisten (Beilage 9 zur Niederschrift über die mündliche Verhandlung am XXXX) und der Aussage des S. am XXXX sowie der Tatsache, dass unmittelbar vor der Einsichtnahme des S. in die Dokumente der Beschwerdeführerin diese S. per E-Mail gebeten hat, weitere Nachforschungen in der Sache des nicht erklärbaren XXXXzu tätigen. Dass sich S. im Gespräch mit der Beschwerdeführerin möglicherweise nicht konkret daran erinnern konnte, im August XXXX auf die Daten zugegriffen zu haben, ändert nichts daran, dass gerade in diesem Zeitfenster ein diesbezüglicher E-Mail-Verkehr zwischen der Beschwerdeführerin und S. stattgefunden hat. Auch hat S. in einem E-Mail an den Verwaltungsdirektor am XXXX (Beilage 4 zur Niederschrift über die mündliche Verhandlung am XXXX) ausgeführt, dass seine Zugriffe auf Ersuchen der Beschwerdeführerin im Zusammenhang mit Nachforschungen zum XXXX erfolgt seien und eingeräumt, dass diese Zugriffe im August XXXX stattgefunden haben könnten. Es besteht somit für das Bundesverwaltungsgericht kein Zweifel, dass die Zugriffe des S. im Zusammenhang mit dem Ersuchen der Beschwerdeführerin, Nachforschungen zum in Rede stehenden XXXX anzustellen, erfolgt sind.

2.10. Die Feststellungen unter Punkt 10 ergeben sich aus den von der mitbeteiligten Partei vorgelegten Protokolllisten (Beilage 9 zur Niederschrift über die mündliche Verhandlung am XXXX), den Stellungnahmen der mitbeteiligten Partei und der Einvernahme des Verwaltungsdirektors in der Verhandlung am XXXX und am XXXX. Dafür, dass der Verwaltungsdirektor einzelne Dokumente anklickte (und damit bei einigen die Vorschau im Patientennavigator sah), gibt es keinen Anhaltspunkt. Darüber hinaus wäre - wie dies der Datenschutzbeauftragte in der Verhandlung am XXXX ausführte - ein eingescanntes Dokument (wie etwa der XXXX oder der externe XXXX Befund) nur mit einem Doppelklick zu öffnen gewesen. Wie der Datenschutzbeauftragte in der Verhandlung am XXXX ausführte, wäre das Öffnen von Dokumenten auch beim Patientennavigator protokolliert worden, und im gegebenen Fall liegt eine derartige Protokollierung nicht vor. Daher ist davon auszugehen, dass der Verwaltungsdirektor keine konkreten Dokumente der Krankengeschichte angeklickt und angesehen hat.

2.11. Die Feststellung zu Punkt 11 ergibt sich aus dem Schreiben der Beschwerdeführerin vom 22.07.2015 und 27.08.2015 (samt Beilage ./578, das nach Angabe der Beschwerdeführerin die Bedenken ihres Rechtsanwaltes widergibt, auf das Angebot der Gegenseite einzugehen), einem von der mitbeteiligten Partei vorgelegten Schreiben vom 05.08.2015 und einem von der mitbeteiligten Partei in der mündlichen Verhandlung am XXXX vorgelegten Schriftsatz, den sie am 06.04.2016 im Verfahren vor dem Landesgericht XXXX erstattete.

2.12. Die Feststellungen zu Punkt 12 ergeben sich aus den Ausführungen des Vertreters der mitbeteiligten Partei in der mündlichen Verhandlung (XXXX, XXXX). Sofern die Beschwerdeführerin die Vertretungsbefugnis des Verwaltungsdirektors für den Gemeindeverband in Abrede stellte, ist Folgendes zu bemerken: Die Beschwerdeführerin zweifelte - allerdings erst in einem fortgeschrittenen Stadium des Verfahrens - die Vertretungsbefugnis des Verwaltungsdirektors für den Gemeindeverband an.

In diesem Zusammenhang wird angemerkt, dass die Beschwerdeführerin in dem dem Bundesverwaltungsgerichtsverfahren zugrunde liegenden Verfahren vor der belangten Behörde in ihrer Beschwerde vom 28.12.2013 den Gemeindeverband als ihren Beschwerdegegner genannt hat, aber die Verwaltungsdirektion als "oberste Stelle für Datenschutzangelegenheiten" bezeichnet und fettgedruckt die Kontaktdaten des Verwaltungsdirektors bekanntgegeben hat. Erst im Mai 2015 behauptete sie - dem widersprechend und offenbar nach mehreren Auseinandersetzungen mit dem Verwaltungsdirektor - in einer Eingabe im Rahmen des Verfahrens vor dem Bundesverwaltungsgericht, dass der Verantwortliche für Datenschutz im Krankenhaus der "Gemeindeverband" und nicht der (namentlich genannte) Verwaltungsdirektor oder der Datenschutzbeauftragte oder der (namentlich genannte) ärztliche Leiter sei.

Dazu ist festzuhalten, dass der Gemeindeverband regelmäßig die Schriftsätze des Bundesverwaltungsgerichts zur Beantwortung an den Verwaltungsdirektor weitergab und dieser vom Obmann des Gemeindeverbandes beauftragt wurde, alle Stellungnahmen an die Datenschutzkommission, an die Datenschutzbehörde und an das Bundesverwaltungsgericht abzugeben (siehe dazu die Ausführungen des Rechtsvertreters der mitbeteiligten Partei in der Niederschrift in der mündlichen Verhandlung vom 26.04.2016; siehe dazu auch die rechtlichen Ausführungen unter Punkt 3.2.).

Der Rechtsvertreter der mitbeteiligten Partei hat in Stellungnahmen, insbesondere in der Stellungnahme vom 04.01.2017, in dem die Rechtsgrundlagen für die Vertretung im Detail zitiert sind, und im Rahmen der mündlichen Verhandlung schlüssig dargelegt, dass der Verwaltungsdirektor aufgrund des XXXX KAG und der Anstaltsordnung für das allgemein öffentliche Bezirkskrankenhaus XXXX vom XXXX.2014 für die Abgaben von Stellungnahmen in Beschwerdeverfahren vor dem Bundesverwaltungsgericht zuständig war.

Die Vollmachtbekanntgabe bezüglich der rechtsfreundlichen Vertretung im gegenständlichen Verfahren vor dem Bundesverwaltungsgericht erfolgte mit Schriftsatz vom 01.02.2016.

3. Rechtliche Beurteilung:

3.1.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 39 Abs. 1 Datenschutzgesetz 2000 (DSG 2000) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide sowie wegen Verletzung der Entscheidungspflicht in den Angelegenheiten dieses Bundesgesetzes durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes - AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.1.3. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder

(2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu den Spruchteilen A1) und A2):

3.2.1. Die belangte Behörde hat ihren Bescheid auf folgende Rechtsgrundlagen gegründet, die auch im gegenständlichen Beschwerdeverfahren heranzuziehen sind:

§§ 1, 4 Z 2, 9 Z 3 und 6, 31 Abs. 2 und 7, 61 Abs. 9 des Datenschutzgesetzes 2000 - DSG 2000 BGBl. I Nr. 165/1999 idgF,XXXXGemeindeverbände-Gesetzes, XXXX; § XXXX des XXXX Krankenanstaltengesetzes - XXXX. Darüber hinaus sind auch § 6 und § 9 Z 7, 9 und Z 12 DSG 2000 von Relevanz. Auch die (geänderte) Anstaltsordnung Allgemeines öffentliches Bezirkskrankenhaus XXXX vom XXXX, genehmigt mit Bescheid des XXXX vom XXXX, XXXX, ist im gegenständlichen Verfahren heranzuziehen.

Die im gegenständlichen Verfahren relevanten Bestimmungen des DSG 2000 lauten:

"(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) - (4) {...]

Definitionen

§ 4. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:

1. "Daten" ("personenbezogene Daten"): Angaben über Betroffene (Z 3), deren Identität bestimmt oder bestimmbar ist; "nur indirekt personenbezogen" sind Daten für einen Auftraggeber (Z 4), Dienstleister (Z 5) oder Empfänger einer Übermittlung (Z 12) dann, wenn der Personenbezug der Daten derart ist, daß dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;

2. "sensible Daten" ("besonders schutzwürdige Daten"): Daten natürlicher Personen über ihre rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder ihr Sexualleben;

Verwendung von Daten

Grundsätze

§ 6. (1) Daten dürfen nur

1. nach Treu und Glauben und auf rechtmäßige Weise verwendet werden;

2. für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden; die Weiterverwendung für wissenschaftliche oder statistische Zwecke ist nach Maßgabe der §§ 46 und 47 zulässig;

3. soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen;

4. so verwendet werden, daß sie im Hinblick auf den Verwendungszweck im Ergebnis sachlich richtig und, wenn nötig, auf den neuesten Stand gebracht sind;

5. solange in personenbezogener Form aufbewahrt werden, als dies für die Erreichung der Zwecke, für die sie ermittelt wurden, erforderlich ist; eine längere Aufbewahrungsdauer kann sich aus besonderen gesetzlichen, insbesondere archivrechtlichen Vorschriften ergeben.

(2) Der Auftraggeber trägt bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Abs. 1 genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht.

(2) - (4) [...]

Schutzwürdige Geheimhaltungsinteressen bei Verwendung sensibler Daten

§ 9. Schutzwürdige Geheimhaltungsinteressen werden bei der Verwendung sensibler Daten ausschließlich dann nicht verletzt, wenn

1. - 2. [...]

3. sich die Ermächtigung oder Verpflichtung zur Verwendung aus gesetzlichen Vorschriften ergibt, soweit diese der Wahrung eines wichtigen öffentlichen Interesses dienen, oder

4. - 5. [...]

6. der Betroffene seine Zustimmung zur Verwendung der Daten ausdrücklich erteilt hat, wobei ein Widerruf jederzeit möglich ist und die Unzulässigkeit der weiteren Verwendung der Daten bewirkt, oder

7. die Verarbeitung oder Übermittlung zur Wahrung lebenswichtiger Interessen des Betroffenen notwendig ist und seine Zustimmung nicht rechtzeitig eingeholt werden kann oder

8. die Verwendung der Daten zur Wahrung lebenswichtiger Interessen eines anderen notwendig ist oder

9. die Verwendung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen des Auftraggebers vor einer Behörde notwendig ist und die Daten rechtmäßig ermittelt wurden oder

10. - 11. [...]

12. die Daten zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder -behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist, und die Verwendung dieser Daten durch ärztliches Personal oder sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen, oder

13. [...]

Beschwerde an die Datenschutzbehörde

§ 31. (1) [...]

(2) Die Datenschutzbehörde erkennt weiters über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Geheimhaltung (§ 1 Abs. 1) oder in ihrem Recht auf Richtigstellung oder auf Löschung (§§ 27 und 28) verletzt zu sein, sofern der Anspruch nicht nach § 32 Abs. 1 vor einem Gericht geltend zu machen ist oder sich gegen ein Organ im Dienste der Gesetzgebung oder der Gerichtsbarkeit richtet.

(3) - (6) [...]

(7) Soweit sich eine Beschwerde nach Abs. 1 oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Abs. 1) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die - allenfalls erneute - Reaktion auf das Auskunftsbegehren nach § 26 Abs. 4, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(8) [...]

Übergangsbestimmungen

§ 61. (1) - (2) [...]

(3) Datenschutzverletzungen, die vor dem Inkrafttreten dieses Bundesgesetzes stattgefunden haben, sind, soweit es sich um die Feststellung der Rechtmäßigkeit oder Rechtswidrigkeit eines Sachverhalts handelt, nach der Rechtslage zum Zeitpunkt der Verwirklichung des Sachverhalts zu beurteilen; soweit es sich um die Verpflichtung zu einer Leistung oder Unterlassung handelt, ist die Rechtslage im Zeitpunkt der Entscheidung in erster Instanz zugrundezulegen. Ein strafbarer Tatbestand ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren.

(4) - (8) [...]

(9) Mit Ablauf des 31. Dezember 2013 tritt die Datenschutzbehörde an die Stelle der Datenschutzkommission. Zum Zeitpunkt des Inkrafttretens des Bundesgesetzes BGBl. I Nr. 83/2013 bei der Datenschutzkommission anhängige Verfahren sind nach Maßgabe der Bestimmungen dieses Bundesgesetzes in der Fassung des Bundesgesetzes BGBl. I Nr. 83/2013 von der Datenschutzbehörde fortzuführen. Erledigungen der Datenschutzkommission gelten als entsprechende Erledigungen der Datenschutzbehörde. Die Bestimmungen des Verwaltungsgerichtsbarkeits-Übergangsgesetzes, BGBl. I Nr. 83/2013, bleiben unberührt. Nach Beendigung des Verfahrens vor dem Verwaltungsgerichtshof betreffend den Bescheid oder die Säumnis der Datenschutzkommission oder vor dem Verfassungsgerichtshof betreffend den Bescheid der Datenschutzkommission ist das Verfahren von der Datenschutzbehörde fortzusetzen.

(10) [...]"

XXXX 3.2.2. Unter Berücksichtigung dieser Rechtslage ergibt sich für den gegenständlichen Fall Folgendes:

Die Zuständigkeit der belangten Behörde steht fest und wurde auch nicht vom Beschwerdeführer bestritten.

In der Sache selbst ist Folgendes festzuhalten:

3.2.2.1. Zum Verarbeiten der Gesundheitsdaten der Beschwerdeführerin in Patidok:

Zunächst ist festzuhalten, dass gemäß § 9 Z 3 DSG 2000 iVm § XXXX Krankenanstaltengesetz eine Rechtsgrundlage für die Verarbeitung der (sensiblen) Daten der Beschwerdeführerin besteht. § XXXX KAG schreibt eine Dokumentation der Krankengeschichten für mindestens 30 Jahre vor. Soweit diese Daten den Ärzten und dem Pflegepersonal (also einer großen Anzahl von Personen, die mit der Behandlung der Beschwerdeführerin nicht betraut war) zur Verfügung stand, war das generelle Einräumen derart weitgehender Zugriffsbefugnisse als möglicher Verstoß gegen Datensicherheitsmaßnahmen im Rahmen eines Kontrollverfahrens gemäß § 30 DSG 2000 von der (damaligen) Datenschutzkommission zu prüfen. Eine diesbezügliche Empfehlung zur Verbesserung der Datensicherheit wurde auch von der Datenschutzkommission im Jahre 2013 ausgesprochen. Die Einhaltung von Datensicherheitsmaßnahmen stellt eine Verpflichtung des Auftraggebers, nicht aber ein subjektives Recht des Betroffenen dar, das im Rahmen einer Beschwerde nach § 31 DSG 2000 bei der Datenschutzbehörde geltend gemacht werden könnte (DSK 02.08.2005, K121.038/0006-DSK/2005).

Wenngleich offenbar ursprünglich "Vereinbarungen" zwischen der Beschwerdeführerin und der Patientenadministration bestanden haben, die Daten nur papiermäßig aufzubewahren, wurde später davon abgegangen und der Beschwerdeführerin vom Verwaltungsdirektor bereits vor ihrer Operation per E-Mail am 27.XXXX mitgeteilt, dass das Sperren der Gesundheitsdaten nicht mehr implementiert werde, sodass ihr dieses Faktum auch bekannt sein musste. Da für die grundsätzliche Verarbeitung der Krankengeschichte bzw. Behandlungsdaten der Beschwerdeführerin eine Rechtsgrundlage bestand, war diesbezüglich die Beschwerde abzuweisen.

Soweit die Beschwerdeführerin beantragte, das Bundesverwaltungsgericht möge eine Sperre ihrer Daten anordnen bzw. eine Rechtsgrundlage hierfür schaffen, war diese bereits mangels Zuständigkeit des Gerichts zurückzuweisen.

3.2.2.2. Zum XXXXBefund:

Die Verarbeitung von Daten über den XXXX der Beschwerdeführerin erfolgte ohne Zustimmung und ohne Information der Beschwerdeführerin. Wie S. in der mündlichen Verhandlung am XXXX angab, wurde der Test jedenfalls nicht routinemäßig und auch nicht vor der Operation durchgeführt. Dies wurde auch durch die Aussagen der Zeugen erhärtet, die angaben, dass der XXXX infolge einer Verletzung einer Bediensteten mit einem Operationsgerät, das bei der Operation der Beschwerdeführerin verwendet worden war, erfolgte. Auch die mitbeteiligte Partei gab eine Stellungnahme in diesem Sinne ab. Zunächst ist festzuhalten, dass eine Datenverwendung im lebenswichtigen Interesse eines Dritten gemäß § 9 Z 7 DSG 2000 (auch ohne Zustimmung) gerechtfertigt ist und im gegebenen Fall dieser Rechtfertigungsgrund vorlag - galt es doch abzuklären, ob für die mit dem Operationsgerät verletzte Bedienstete das Risiko einer Ansteckung mit einer lebensbedrohlichen Infektion gegeben war oder nicht. Allerdings erfolgte weder eine Information der Beschwerdeführerin, nachdem sie das Bewusstsein wiedererlangt hatte, noch anlässlich des Einscannens des Befundes, obwohl dadurch der Befund einem weiteren Personenkreis zugänglich wurde. Insofern wurde jedenfalls auch gegen die in § 24 DSG 2000 normierten Informationspflichten des Auftraggebers verstoßen, wenngleich diese Verstöße per se nicht im gegenständlichen Verfahren abzuhandeln waren. Darüber hinaus war - wie sich aus der Aussage des S. ergibt, der gegenständliche Befund auch kein Bestandteil der Krankengeschichte, da dieser vor der Operation gar nicht eingeholt worden war, sondern diese Daten für einen anderen Zweck als für die Krankengeschichte und zur Behandlung der Beschwerdeführerin erhoben wurden. Zum Zeitpunkt des Abspeicherns des Befundes nach mehr als sieben Monaten nach der Blutabnahme war dieses lebenswichtigen Interesse einer Dritten längst nicht mehr gegeben, zumal zu diesem Zeitpunkt längst der Zweck des XXXX erfüllt war und geklärt war, dass von der Beschwerdeführerin keine Infektionsgefahr ausging. Demnach waren die Daten bestenfalls nur mehr zu Beweiszwecken (im Zusammenhang mit der erfolgten Verletzung der Q.) zu verarbeiten. Von der mitbeteiligten Partei wurde auch eingeräumt, dass es hier möglicherweise bei zwei Befunden wechselweise zu einer falschen Zuordnung gekommen war und der XXXX Befund dem Betriebsarztfall und der XXXX-Befund dafür dem Behandlungsfall zugewiesen wurde (siehe dazu die Stellungnahme der mitbeteiligten Partei vom 21.12.2016). Eine Speicherung bei der Krankengeschichte der Beschwerdeführerin war im konkreten Fall nicht rechtmäßig, da der Befund nicht Bestandteil der Krankengeschichte war und ein XXXX auch für eine allenfalls in der Zukunft erfolgende Behandlung nicht relevant sein kann, da XXXX. Im Übrigen wurde dieser Befund grundsätzlich den Ärzten und dem Pflegepersonal zugänglich gemacht, was wiederum im Zusammenhang mit dem oben dargestellten Problem der mangelhaften Gewährleistung von Datensicherheitsmaßnahmen (die auch nicht per se im gegenständlichen Verfahren geltend gemacht werden konnten) relevant war. Eine allfällige Speicherung zu Beweiszwecken hätte daher in diesem Fall gesondert von der Krankengeschichte erfolgen müssen.

Der Befund wurde - wie oben dargestellt - falsch zugeordnet, verarbeitet und jenen, die grundsätzlich rechtmäßig Einsicht in die Dokumentenübersicht oder auf das Dokument nahmen, auch fälschlich als Dokument der Krankengeschichte zur Kenntnis gebracht. Überdies fand im Zusammenhang mit der Verarbeitung dieser Daten offensichtlich eine Reihe von Verstößen gegen Auftraggeberpflichten statt.

Im gegenständlichen Fall war insbesondere zu prüfen, inwieweit gegen die §§ 6 ff DSG 2000 verstoßen wurde und dadurch ein Verstoß gegen das Recht der Beschwerdeführerin auf Geheimhaltung erfolgte.

Die Erläuterungen zur Regierungsvorlage zum DSG 2000, 1613 der Beilagen XX. GP, führen zu § 6 Z 1 und 2 aus: "Eine Verwendung nach Treu und Glauben (Z 1) liegt nur dann vor, wenn der Betroffene über die Umstände des Datengebrauchs und das Bestehen und die Durchsetzbarkeit seiner Rechte nicht irregeführt oder im Unklaren gelassen wird. Wichtig für die Verwirklichung dieses Gebots sind vor allem die Bestimmungen des 4. Abschnitts des vorliegenden Entwurfs über die Publizität der Datenanwendung.

Das in Z 2 statuierte Zweckbeschränkungsprinzip findet im vorliegenden Gesetzesentwurf in folgenden Bestimmungen seine Umsetzung:

Der OGH führte im Zusammenhang mit den Datenschutzgrundsätzen aus, dass auch eine entsprechende Intransparenz durch unterlassene Information des Betroffenen zu einer relevanten Datenschutzverletzung führen kann: "Der in § 6 Abs. 1 Z 1 DSG verankerte Grundsatz, wonach Daten nur nach Treu und Glauben verwendet werden dürfen, erfordert eine entsprechende Benachrichtigung des Betroffenen, um ihm die Möglichkeit zu geben, sich gegen eine seiner Meinung nach nicht gerechtfertigte Datenverwendung zur Wehr zu setzen. Eine dagegen verstoßende Eintragung in die Warnliste ist nicht mehr durch ein überwiegendes Gläubigerschutzinteresse gerechtfertigt und somit rechtswidrig, sie ist der Bank auch subjektiv vorwerfbar" (OGH 15.12.2005, 6 OB 275/05t).

Der VwGH führte zu § 6 Abs. 1 Z 1 DSG 2000 aus: "Ob Daten im Sinne des § 6 Abs. 1 Z 1 DSG 2000 "auf rechtmäßige Weise" verwendet bzw. im Rahmen rechtlicher Befugnisse ausgeübt werden, ist nicht nur an Hand der Bestimmungen des DSG 2000 selbst, sondern auch unter Beachtung von Verboten einer Datenverwendung zu prüfen, die sich aus gesetzlichen Bestimmungen außerhalb des DSG 2000 ergeben (vgl. zu einer Prüfung der Rechtmäßigkeit behördlichen Verhaltens an Hand abgabenverfahrensrechtlicher Bestimmungen bei Beurteilung einer Datenschutzbeschwerde das E vom 27. November 2007, Zl. 2006/06/0262). Dies bedeutet fallbezogen, dass auch die Verletzung dienstrechtlicher Normen, welche (u.a.) eine bestimmte Art der Verarbeitung und damit der Verwendung von Daten für den Bereich des Beamtendienstrechtes untersagen (wie etwa § 79c BDG 1979, idF BGBl. I Nr. 70/1999), zu einem Verstoß gegen § 6 Abs. 1 Z. 1 DSG 2000 bzw. mangels "Zuständigkeit oder rechtlicher Befugnis" gegen § 7 Abs. 1 leg. cit. und damit zu einem Recht des Auftraggebers auf Löschung gemäß § 27 Abs. 1 DSG 2000 führt, welches mit Löschungsantrag und Datenschutzbeschwerde nach § 31 Abs. 2 leg. cit. verfolgt werden kann" (VwGH 28.01.2013, 2012/12/0050).

Schon aufgrund der oben genannten Verarbeitung des Befundes im Rahmen der Krankengeschichte, also zu einem anderen Zweck als den, für den der Befund erhoben wurde (wobei auch das Abfragen von Daten durch Bedienstete des Gemeindeverbandes unter den Begriff des "Verarbeitens" fällt), noch dazu in Kombination mit weiteren Datenschutzverstößen, wurde gegen die in § 6 Abs. 1 DSG 2000 verankerten Grundsätze, dass Daten nach Treu und Glauben und auf rechtmäßige Weise zu verarbeiten sind (Z 1), dass Daten für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden dürfen (Z 2) und dass Daten für den Zweck der Datenanwendung wesentlich sein müssen (Z 3) verstoßen. Die gegenständliche Datenverwendung war daher als unrechtmäßig anzusehen. Es liegt daher ein Verstoß gegen das Recht der Beschwerdeführerin auf Geheimhaltung vor.

Der Beschwerde war daher in diesem Punkt stattzugeben.

3.2.2.3. : Zum XXXX Befund:

Zunächst ist auf die unter Punkt 3.2.2.2. zitierte Judikatur zu verweisen.

Der XXXX Befund der Beschwerdeführerin wurde von der Beschwerdeführerin selbst im Hinblick auf die bevorstehende Operation beigebracht und ist - wie auch S. ausführte - Bestandteil der Krankengeschichte. Etwa sieben Monate nach der Operation wurde der Befund eingescannt und - wie die mitbeteiligte Partei selbst einräumte - fälschlich dem Betriebsarzt zugeordnet. Gemäß § 4 Z 8 DSG 2000 bedeutet "Verwenden von Daten" jede Art der Handhabung von Daten einer Datenanwendung, also sowohl das Verarbeiten als auch das Übermitteln. Unter "Ermitteln von Daten" wird das Erheben von Daten in der Absicht, sie in einer Datenanwendung zu verwenden, verstanden (Jahnel, Datenschutzrecht, Rz 3/14). Wie unter Punkt 3.2.2.2. ausgeführt, ist gemäß § 4 Z 12 DSG 2000 unter dem Übermitteln von Daten auch die Verwendung von Daten für ein anderes Aufgabengebiet des Auftraggebers zu verstehen. Es steht außer Zweifel, dass eine Verarbeitung von Daten im Bereich "Betriebsarzt" ein anderes Aufgabengebiet als die Patientenverwaltung darstellt. Eine Rechtsgrundlage für eine derartige Übermittlung ist nicht ersichtlich. Auch wurde die Beschwerdeführerin von dieser Verwendung nicht informiert. Die Datenverarbeitung beim Betriebsarzt verfolgt einen anderen Zweck als die Verwaltung der Krankengeschichte der Patienten. Gemäß § 6 Abs. 1 Z 2 DSG 2000 dürfen Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden. Gemäß § 6 Abs. 1 Z 3 müssen die Daten für den Zweck der Datenanwendung wesentlich sein und dürfen über diesen Zweck nicht hinausgehen. Im gegebenen Fall wurden Daten, die Bestandteil der Krankengeschichte waren und für diesen Zweck ermittelt wurden, für einen anderen Aufgabenbereich und anderen Zweck verarbeitet, wofür es keine Rechtfertigung gab, weshalb die Datenverwendung unzulässig war und ein Verstoß gegen das subjektive Recht auf Geheimhaltung der Beschwerdeführerin stattfand. Auch wenn diese falsche Zuordnung versehentlich vorgenommen wurde, wie dies von der mitbeteiligten Partei vorgebracht wurde, ist dies insofern nicht von Relevanz, weil das Grundrecht auf Datenschutz auch ohne Verschulden verletzt werden kann (Pollirer/Weiss/Knyrim, Datenschutzgesetz ² § 1 E 82). Der Vollständigkeit halber wird angemerkt, dass eine derartige Datenschutzverletzung nicht voraussetzt, dass die Daten tatsächlich durch die Betriebsärztin abgefragt wurden.

Der Beschwerde war daher in diesem Punkt stattzugeben.

3.2.2.4. Zur Datenabfrage unter der Kennung des L.:

Wie im Rahmen der Beweiswürdigung ausgeführt wurde, war es dem Bundesverwaltungsgericht trotz der Heranziehung von sachkundigen Zeugen und zahlreicher Zeugenbefragungen nicht möglich festzustellen, welche Person unter der Benutzerkennung auf die Daten der Beschwerdeführerin zugegriffen hat. Daher war mangels Feststellung einer Datenschutzverletzung die Beschwerde in diesem Punkt abzuweisen.

3.2.2.5. Zum Datenzugriff von H. und S.:

Davon abgesehen, dass die beiden Ärzte bereits in die Behandlung der Beschwerdeführerin im Zusammenhang mit ihrer Operation involviert waren und ihnen schon deshalb die Krankengeschichte (mit Ausnahme des XXXX) bekannt sein musste, ist dazu Folgendes zu bemerken: Die Beschwerdeführerin ermächtigte selbst ihren Operateur S., Nachforschungen zu ihrem XXXX zu tätigen. Die Zugriffe des S., die in unmittelbarem Zusammenhang mit der Bitte der Beschwerdeführerin erfolgten, waren daher gerechtfertigt, da sie auf Basis der ausdrücklichen Zustimmung der Betroffenen (§ 9 Z 6 DSG 2000) erfolgten. Gerechtfertigt war auch der Zugriff des H., der eben aufgrund dieser Nachforschungen des S., im Zuge derer dieser auch H. angesprochen hatte, in seiner Leitungs- und Aufsichtsfunktion als zuständiger Abteilungsleiter ebenfalls in die Krankengeschichte der Betroffenen Einsicht nahm. Die Führung der Krankengeschichte nach § XXXXKAG erfolgt (jedenfalls auch) unter der Leitung des zuständigen Abteilungsleiters, der das Recht hat, sich zu vergewissern, dass die Krankengeschichte der Patienten seiner Abteilung richtig ist.

Die Beschwerde war daher in diesen Punkten abzuweisen.

3.2.2.6. Zum Datenzugriff durch den Verwaltungsdirektor:

Die Frage der Beschwerdeführerin, wieso der Verwaltungsdirektor eine Zugriffsmöglichkeit auf sämtliche sensible Patientendaten einschließlich die seiner Mitarbeiterinnen und Mitarbeiter hat und ob hier nicht eine gelindere Methode gewählt werden müsste (zumal der Verwaltungsdirektor den Inhalt der Krankengeschichten im Detail offenbar nur in seltenen Fällen - etwa bei konkreten diesbezüglichen Verfahren - kennen muss und diese Details jedenfalls nicht zur routinemäßigen Honorarabrechnung notwendig scheinen), scheint dem Bundesverwaltungsgericht zwar durchaus nachvollziehbar; im gegenständlichen Fall hatte das Gericht allerdings lediglich zu prüfen, inwieweit eine Verletzung des Rechts der Beschwerdeführerin auf Geheimhaltung ihrer personenbezogenen Daten stattgefunden hat. Die Prüfung der Einhaltung von Datensicherheitsmaßnahmen (wozu auch ein abgestuftes und verhältnismäßiges Berechtigungskonzept gehört) kann nicht Gegenstand eines § 31-Verfahrens vor der belangten Behörde sein und fällt infolge dessen auch nicht in die Kompetenz des Bundesverwaltungsgerichtes, derartige Verfahren zu überprüfen. Soweit die Anträge der Beschwerdeführerin sich auf die Prüfung von Datensicherheitsmaßnahmen bezogen, waren diese daher zurückzuweisen. Ebenso gingen die (wiederholt gestellten) Anträge der Beschwerdeführerin, weitere Zugriffe des Verwaltungsdirektors zu untersagen, ins Leere und waren aus diesem Grund auch zurückzuweisen.

Wie der Verwaltungsdirektor angab, benötigte er einen Überblick über die Natur der Dokumente, um die Fragen der Datenschutzkommission in einem konkreten Verfahren zu beantworten. Im konkreten Fall wurde von der Datenschutzkommission mit Schreiben vom 10.09.2013 um eine Stellungnahme zu einer Eingabe der Beschwerdeführerin gebeten, in der die Beschwerdeführerin unter anderem ausführte, dass bestimmte Dokumente zu einem bestimmten Zeitpunkt noch nicht in Patidok gespeichert gewesen seien. Es scheint plausibel, dass der Verwaltungsdirektor zur Abgabe einer Stellungnahme wissen musste, welche Art der Dokumente über die Beschwerdeführerin in Patidok vorhanden war und ab welchem Zeitpunkt die Dokumente dort gespeichert waren. Eine darüber hinausgehende Einsichtnahme - etwa in den besonders sensiblen Inhalt einzelner Dokumente - konnte nicht nachgewiesen werden. Die Ermittlung der in Rede stehenden Daten durch den Verwaltungsdirektor waren daher aufgrund seiner Zuständigkeit, für den Rechtsträger in Beschwerdeverfahren tätig zu werden und auf der Grundlage des § 9 Z 9 DSG 2000 gerechtfertigt.

Die Beschwerde war daher bezüglich der von der Beschwerdeführerin behaupteten unrechtmäßigen Zugriffe des Verwaltungsdirektors grundsätzlich abzuweisen. Soweit jedoch auch die Existenz des XXXX im System (wenngleich nur unter "XXXX") aufschien und abgefragt wurde, ist auf die Ausführungen zu Punkt 3.2.2.2. zu verweisen.

3.2.2.7. Zu den Daten XXXX der Beschwerdeführerin:

Davon abgesehen, dass die Einsicht in Daten des XXXX der Beschwerdeführerin gar nicht Gegenstand des Verfahrens bei der belangten Behörde war, hat die Beschwerdeführerin in ihrer Beschwerde an das Bundesverwaltungsgericht auch keine konkreten Zugriffe auf die Daten XXXX gerügt, sondern beantragt, die Sperrung dieser Gesundheitsdaten zu erwirken und eine Überprüfung der Zugriffe auf die DatenXXXXvorzunehmen. Davon abgesehen, dass die Einhaltung von Datensicherheitsmaßnahmen in einem Verfahren nach § 31 DSG 2000 nicht geltend gemacht werden können, ist das Grundrecht auf Geheimhaltung ein höchstpersönliches Recht, das nur vom Betroffenen selbst geltend gemacht werden kann. Verstorbenen kommt ein Recht auf Datenschutz grundsätzlich nicht zu. Daher waren auch die Anträge der Beschwerdeführerin, die die Daten XXXX betrafen, zurückzuweisen.

3.2.2.8. Zur Vertretungsbefugnis des Verwaltungsdirektors für den Gemeindeverband:

Sofern die Beschwerdeführerin die Vertretungsbefugnis des Verwaltungsdirektors für den Gemeindeverband in Abrede stellte, ist Folgendes zu bemerken: Die Beschwerdeführerin zweifelte - allerdings erst in einem fortgeschrittenen Stadium des Verfahrens, nachdem offenbar weitere diverse Auseinandersetzungen mit dem Verwaltungsdirektor stattgefunden hatten - die Vertretungsbefugnis des Verwaltungsdirektors für den Gemeindeverband an.

Davon abgesehen, dass die vom Bundesverwaltungsgericht an die mitbeteiligte Partei (den Gemeindeverband) gerichteten Schriftstücke von diesem regelmäßig an den Verwaltungsdirektor zur Beantwortung weitergeleitet wurden und schon daraus zu schließen war, dass der Obmann des Gemeindeverbandes den Verwaltungsdirektor des Krankenhauses zur Abgabe von Stellungnahmen im Beschwerdeverfahren ermächtigte, hat der Rechtsvertreter der mitbeteiligten Partei in Stellungnahmen, insbesondere in der Stellungnahme vom 04.01.2017, in dem die Rechtsgrundlagen für die Vertretung im Detail (siehe etwa XXXX der Anstaltsordnung, der die Vertretung nach außen regelt bzw. § XXXX der Anstaltsordnung, der das XXXX regelt) zitiert sind, und im Rahmen der mündlichen Verhandlung schlüssig dargelegt, dass der Verwaltungsdirektor für die Abgaben von Stellungnahmen in Beschwerdeverfahren vor dem Bundesverwaltungsgericht zuständig war. Die Anstaltsordnung wurde erstmals vom Gemeindeverbandsausschuss am XXXX beschlossen und vom XXXX genehmigt. Die geänderte Fassung wurde vom Gemeindeverbandsausschuss in der Sitzung vom XXXX beschlossen (womit auch hier eine Legitimation durch ein Organ des Gemeindeverbandes vorliegt) und mit Bescheid XXXX, genehmigt.

Die Vertretungsbefugnis des Verwaltungsdirektors im gegenständlichen Verfahren steht aufgrund der vorgelegten Rechtsgrundlagen und Ausführungen der mitbeteiligten Partei für das Bundesverwaltungsgericht außer Zweifel (siehe dazu auch die Ausführungen in Punkt 2.12. der Beweiswürdigung), wobei während des laufenden Verfahrens vom Gemeindeverband ein Anwalt mit der Rechtsvertretung betraut wurde. Die Vollmachtbekanntgabe an das Bundesverwaltungsgericht erfolgte mit Schriftsatz vom 01.02.2016, ab diesem Zeitpunkt war der Gemeindeverband rechtsfreundlich vertreten.

Der Vollständigkeit halber wird angemerkt, dass das Bundesverwaltungsgericht auch keinen Zweifel daran hegt, dass der grundsätzlich für Beschwerdeverfahren zuständige Organwalter des Gemeindeverbandes auch rechtmäßiger Ansprechpartner für den vertretenden Rechtsanwalt war, der offenkundig nicht alle Details im Krankenhaus selbst recherchieren konnte. Soweit sich die Anträge der Beschwerdeführerin darauf bezogen, dass der Verwaltungsdirektor Unterlagen trotz "mangelnder Parteistellung" erhalten hat, waren diese abzuweisen. Es liegt aus den oben genannten Gründen auch kein Verfahrensfehler vor.

3.2.2.9. Zu den sonstigen Anträgen:

Die Beschwerdeführerin stellte im Rahmen des Verfahrens eine Vielzahl von weiteren Anträgen, die einerseits mangels Zuständigkeit des Bundesverwaltungsgerichts zurückzuweisen waren (siehe dazu die Ausführungen unter den Punkten 3.2.2.1., 3.3.3.6. und 3.2.2.7.), andererseits wegen mangelnder Relevanz oder weil die behauptete Verletzung des Rechts auf Geheimhaltung nur Datensicherheitsmaßnahmen betraf, abzuweisen waren.

Soweit die Parteien weitere Beweisanträge stellten, waren diese abzuweisen, da aufgrund dieser Beweise, insbesondere aus der Vernehmung weiterer Zeugen, kein weiteres verfahrensrelevantes Ermittlungsergebnis zu erwarten war.

Was die Einholung eines Sachverständigengutachtens betrifft, so geht das Bundesverwaltungsgericht davon aus, dass ein derartiges Gutachten auch keine über das gegenständliche Ermittlungsergebnis hinausgehende Erkenntnisse gebracht hätte. Wie ein in der mündlichen Verhandlung am XXXX als Zeuge befragter sachkundiger Experte der Firma XXXX zutreffend ausführte, ist für die Feststellung der am Krankenhaus durchgeführten Datenverwendungen und -protokollierungen eine profunde Kenntnis der dort eingesetzten Software notwendig. Sowohl der Datenschutzbeauftragte als auch die Experten der Firma XXXX wurden detailliert im Rahmen von Zeugeneinvernahmen befragt und lieferten auch noch im schriftlichen Verfahren ergänzend weitere Details nach. Insofern hätte die Heranziehung eines externen Sachverständigen zu keinen neuen Ergebnissen geführt. Daher war auch der Antrag auf Beiziehung eines Sachverständigen abzuweisen.

3.3. Zu Spruchteil B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung steht im Einklang mit der bisherigen Rechtsprechung der Datenschutzkommission und der Datenschutzbehörde sowie der Rechtsprechung der Höchstgerichte (siehe Punkt 3.2.). Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.