Short & crispy: Eine parlamentarische Beantwortung erörtert die Einbindung privater Firmen wie BDO Consulting in das Wiener Darmkrebs-Screening und die damit verbundene Verarbeitung hochsensibler Patientendaten. Das Gesundheitsministerium streitet jede inhaltliche Verantwortung ab, obwohl es selbst im Steering Komitee des Programms vertreten ist.
Auf einen Blick: Ministerin Korinna Schumann (SPÖ) antwortet auf die parlamentarische Anfrage der Abgeordneten Mag. Katayun Pracher-Hilander (FPÖ) zum Titel „Datenschutzrechtliche Grundlagen und Weitergabe sensibler Gesundheitsdaten im Zusammenhang mit Screeningprogrammen“ (5694/AB).
Rechtlicher Blindflug bei sensiblen Daten
Worum es geht: Die Abgeordnete Pracher-Hilander zielt mit ihrer Anfrage auf das Fundament des Patientenschutzes: Artikel 9 der DSGVO. Es geht um die Frage, wie Namen, Sozialversicherungsnummern und medizinische Befunde bei externen Dienstleistern landen können, ohne die gesetzlichen Schutzwälle zu durchbrechen.
- Im Fokus stehen finanzielle Schwellenwerte bei Vergaben und die zwingende Notwendigkeit einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO.
- Die Abgeordnete pocht auf die Klärung der Verantwortlichkeiten, wenn private Labore und Beratungsunternehmen tiefen Einblick in die Gesundheitsbiografien der Bürger erhalten.
Die Taktik der organisierten Unzuständigkeit
Zwischen den Zeilen: Die Antwort aus dem Ressort ist ein Lehrstück behördlicher Ausweichmanöver. Schumann stellt klar, dass ihr Ministerium nicht als „Verantwortlicher“ im Sinne der DSGVO agiert. Jede konkrete Beurteilung der Datenflüsse beim Wiener Screening wird verweigert. Man habe keine Kenntnis der Sachlage, heißt es in der Beantwortung, während man im selben Atemzug die eigene Mitgliedschaft im Steering Komitee des Programms bestätigt. Eigene Leitlinien oder Sicherheitsstandards für solche Kooperationen mit Privaten existieren schlichtweg nicht.
- Null Leitlinien: Das Ministerium hat keinerlei Empfehlungen zur datenschutzrechtlichen Ausgestaltung von Darmkrebs-Screenings erstellt.
- Steering Komitee: Das BMASGPK ist offiziell im Lenkungsausschuss des Wiener Programms vertreten, behauptet aber dennoch „mangelnde inhaltliche Involvierung“.
- Datenschutz: Für die Überwachung der DSGVO-Einhaltung wird pauschal auf die Datenschutzbehörde (DSB) verwiesen.
Blamage: Systemisches Wegschauen im Lenkungsausschuss
Unstimmigkeit ist eklatant: Ein Ministerium sitzt in einem Steuerungsgremium für ein Programm, will aber von den rechtlichen Rahmenbedingungen der Datenverarbeitung nichts wissen. Fragen nach der Zulässigkeit der Datenweitergabe an externe Arbeitnehmer oder nach spezifischen technischen Schutzmaßnahmen werden mit dem Verweis auf die fehlende „allgemeine Zuständigkeit“ abgeputzt. Das Ministerium fungiert hier als passiver Beobachter eines Vorgangs, den es eigentlich mitgestalten sollte.
Warum das wichtig ist: Wenn Bundesbehörden in Steuerungsgremien sitzen, sich aber bei der datenschutzrechtlichen Haftung für externe Dienstleister für unzuständig erklären, hebelt das die staatliche Kontrollfunktion aus.
Mitschwimmen im Komitee, Verantwortung bei den anderen.
Frank sagt:
