„Es war mir eine Ehre“: Die Patientengrüße, die zur DSGVO-Sanktion wurden

Wer den Arbeitsplatz wechselt, will sich normalerweise verabschieden. Im Falle eines Hausarztes ist der Impuls noch verständlicher: Nach Jahren in der Praxis sind die Patienten keine Liste, sondern Menschen, die man mit Namen anruft und deren Krankengeschichte und oft auch Familiengeschichte man kennt.

Die Nachricht, die eine litauische Ärztin ihren Patienten im Herbst 2024 schickte, lautete folgendermaßen: „Ich informiere Sie, dass ich ab dem 8. November nicht mehr in der Poliklinik von Šakiai tätig sein werde. Vielen Dank, dass Sie mir die Möglichkeit gegeben haben, Ihre Hausärztin zu sein, es war mir eine Ehre. Ich lade Sie ein, die Bekanntschaft in der Praxis Zaleckienė ab dem 18. fortzusetzen.“ Allein gelesen, klingt es einfach nach einer höflichen Person.

Die litauische Datenschutzbehörde sah darin etwas anderes. Um diese Nachricht zu verfassen, hatte die Ärztin während ihres Krankenstands, fast immer abends, innerhalb von fünf Tagen auf das Gesundheitsmanagementsystem der Poliklinik zugegriffen und die Krankenakten von 1.231 Patienten geöffnet. Am 5. Juni 2026 erließ sie eine persönliche Geldstrafe von 1.153 Euro gegen sie.

Es ist das Detail, das den Fall aufschlussreich macht, denn der Unterschied zwischen den beiden Interpretationen liegt genau hier. Aus Sicht der Verfasserin der Nachricht ging es darum, ihre Patienten zu informieren. Aus Sicht der Behörde handelte es sich um eine Fachkraft, die auf ein Gesundheitsarchiv zugreift, das sie zur Behandlung nicht mehr benötigt, und daraus Kontakte entnimmt, um ihre Klientel mitzunehmen. Dieselbe Handlung, zwei gleichermaßen zutreffende Beschreibungen, nur eine für die DSGVO relevant.

Die Verteidigung versuchte drei Wege, aber keiner hielt stand. Der erste: Ich habe mich nur einmal angemeldet, um zu sehen, wie viele Patienten mir zugewiesen waren, ohne die einzelnen Akten zu öffnen. Das Zugriffsprotokoll des Managementsystems sagte etwas anderes, nämlich wiederholte Zugriffe zu verschiedenen Zeiten auf verschiedene Akten. Der zweite: Es gibt eine Norm, die dem Patienten das Recht gibt zu erfahren, wer ihn behandelt. Richtig, antwortete die Behörde, aber diese Norm betrifft den Leistungserbringer, nicht die Tatsache, dass er woanders arbeiten wird. Der dritte: Die SMS habe ich nicht geschickt. Derselbe Text wie die E-Mail, derselbe Stil, dieselbe Art, Daten zu schreiben.

Dann gibt es noch den Punkt, den jeder hervorheben sollte, der mit fremden Daten arbeitet, und das betrifft nicht nur das Gesundheitswesen: Ansehen ist Verarbeiten. Art. 4 der Verordnung zählt die bloße Einsichtnahme zu den Verarbeitungsvorgängen, gleichberechtigt mit der Erhebung und Speicherung. Man muss keine Datei kopieren, keine Liste exportieren, nichts auf dem Telefon speichern. Eine Akte zu öffnen, die man nicht benötigt, ist bereits ausreichend.

Das interessanteste Kapitel betrifft jedoch den Arbeitgeber, denn die Poliklinik ging aus dieser Angelegenheit ohne Sanktion hervor. Sie hatte den Verstoß aus eigener Initiative gemeldet, verfügte über eine interne Regelung, die den Datenzugriff auf diejenigen beschränkte, die ihn für ihre Aufgaben benötigten, konnte nachweisen, dass die Ärztin diese Regelung kannte, und führte detaillierte Protokolle, um jede einzelne Verbindung zu rekonstruieren. Mit diesen Elementen sah die Behörde Art. 32 als eingehalten an und verlagerte die Verantwortung auf die Person, die beschlossen hatte, diese Daten zu verwenden: Zu diesem Zeitpunkt, so die Entscheidung unter Verweis auf die europäischen Leitlinien, handelte die Mitarbeiterin nicht mehr im Auftrag der Einrichtung, sondern für einen eigenen Zweck, und sie war die Verantwortliche für diesen Zweck.

Es lohnt sich, hier kurz innezuhalten, denn das ist der Teil, den man im Unternehmen anwenden kann. Dieselben Protokolle, die die Poliklinik schützten, waren auch diejenigen, die die Version der Ärztin widerlegten. Sie sind keine bürokratische Anforderung, die man in einem Audit abhaken muss: Sie sind das Einzige, was an dem Tag, an dem etwas schiefgeht, wirklich erzählt, was passiert ist. Und die Zugriffsregel, die beim Verfassen immer übertrieben erscheint, ermöglichte es, zwischen einer Organisation, die ihren Teil getan hatte, und einer Person, die über die Stränge schlug, zu unterscheiden.

Es bleibt eine Frage, über die nur wenige zuvor nachdenken: Bleiben die Zugangsdaten von jemandem, der krank ist oder gekündigt hat und die Kündigungsfrist ableistet, wie gewohnt aktiv? In den meisten Organisationen lautet die Antwort ja, und das nicht aus Wahl: weil niemand jemals etwas daran geändert hat.

Über den Betrag kann man schmunzeln. Eintausendeinhundertdreiundfünfzig Euro entsprechen einem litauischen Mindestmonatslohn, dem Parameter, den die Behörde verwendet, wenn eine natürliche Person statt eines Unternehmens sanktioniert wird, und bleiben 0,006 % des vorgesehenen Höchstbetrags. Aber die Geldstrafe ist der weniger belastende Teil dieser Geschichte. Was bleibt, ist eine öffentliche Feststellung der unrechtmäßigen Verarbeitung von Gesundheitsdaten zulasten eines Arztes, mit all dem, was dies beruflich mit sich bringt, und tausendzweihundert Patienten, die heute, wenn sie wollten, eine Grundlage hätten, um Schadenersatz zu fordern.

Für eine Grußnachricht.

Quellen: VDAI, Entscheidung vom 5. Juni 2026 Nr. 3R-1040 – vollständiger Text · Mitteilung vom 11. Juni 2026 · Verstoß gegen Art. 5 Abs. 1 Buchst. a), Art. 6 Abs. 1 und Art. 9 Abs. 2 DSGVO · Enforcement Tracker ETid-3199