Das menschliche Gehirn ist kein Speicherort, und ein Gespräch per Telefon ist keine Verarbeitung personenbezogener Daten, das hat nun der High Court of England and Wales (EWHC) erstmals konkret in einem Urteil aus dem März 2020 (neutrale Zitiernummer: [2020] EWHC 483 (QB)) entschieden.
Der Kläger, die Privatperson David Paul Scott, hatte sich im Juni und Juli 2016 in Manchester an die Beklagte, die LGBT Foundation [LGBT-Stiftung] gewandt. Die LGBT Foundation ist eine private Wohltätigkeitsorganisation, die Schwule, Lesben, Bisexuelle und Transgender [lesbian, gay, bisexual and transgender people – LGBT people] unterstützt und berät, vor allem hinsichtlich ihrer seelischen Gesundheit.
Kläger hatte Probleme mit seelischer und körperlicher Gesundheit
Der Kläger hatte in der Vergangenheit Probleme mit Drogenmissbrauch und selbstverletzendem Verhalten. Er nahm zur Zeit des streitgegenständlichen Vorfalls Medikamente ein, die aus Persönlichkeitsschutzgründen im Urteil nicht näher bezeichnet werden, deren Absetzen der Kläger jedoch selbst als lebensbedrohlich einstufte.
Bei seinem Aufnahmegespräch bei der Stiftung gab der Kläger an, er habe derzeit zwar keine Pläne sich „aktiv selbst zu töten“, aber er denke daran, die Einnahme seiner Medikamente zu beenden, „da er einfach nicht mehr leben wolle“ [He had no current plans to „actively kill“ himself, he was „seriously considering stopping taking my [deletion] meds because I just don’t want to be alive anymore“] (Rn. 20).
Im Aufnahmeformular (self-referral form) gab der Kläger außerdem unter dem folgenden (hier übersetzten) Passus die Kontaktdetails seines Hausarztes an:
„Wir weisen Sie darauf hin, dass wir im Rahmen unserer Verschwiegenheitsrichtlinien unter Umständen aus Gründen Ihrer Gesunderhaltung unsere Pflicht zur Vertraulichkeit ohne Ihre Zustimmung verletzen müssen, falls es Anlass zu schwerwiegenden Bedenken hinsichtlich Ihres Wohlergehens gibt. Falls dieser Fall eintrifft, werden wir zunächst versuchen, Ihre Zustimmung einzuholen. Dies wird aber unter Umständen nicht in jedem Falle möglich sein.“
[Please note that as part of our confidentiality policy, if there is reason to be seriously concerned about your welfare, we may need to break confidentiality without your consent to help you stay safe. We will try to get your consent first but this may not always be possible (Rn. 23).]
Beklagte kontaktierte selbstständig Hausarzt des Klägers
Diese Regelung wurde mit dem Kläger auch bei seinem Aufnahmegespräch mit der ihm zugewiesenen Therapeutin, Frau Lambe, Ende Juli 2016 besprochen. Der Kläger akzeptierte diese Regelung mündlich (Rn. 26). Im Aufnahmegespräch stellte sich zudem heraus, dass der Konsum illegaler Drogen durch den Kläger so gravierend war, dass die von ihm beantragte Gesprächstherapie keinen Sinn ergeben würde, jedoch eine Drogen- und Alkoholtherapie in Frage käme (Rn. 40).
Der Kläger hatte im Aufnahmegespräch immer wieder geäußert, dass er eine lange Geschichte von Drogenmissbrauch und selbstverletzendem Verhalten habe. Die Intensität des Gedankens, sich selbst töten zu wollen, schätzte er auf einer Skala von 0 bis 10 selbst als „8“ ein (Rn. 32).
Am selben Tag rief die Therapeutin Frau Lambe von der LGBT Foundation beim Hausarzt (general practitioner – GP) des Klägers an und verständigte die dortige medizinische Fachangestellte (Arzthelferin) über den Inhalt des Gespräches. Die medizinische Fachangestellte notierte unter anderem Folgendes in der Patientenakte des Klägers (hier in Übersetzung):
„David [der Kläger] hat zugegeben, dass er [Angabe aus Persönlichkeitsschutzgründen im Urteil gelöscht] nimmt. Er erklärte, dass er diese im Rahmen einer Bewältigungsstrategie einnimmt, aber dass diese Einnahme auch eine Art ist, sich selbst zu verletzen. Er gab an, dass er am vergangenen Donnerstag Suizidgedanken hatte. Er macht jedoch die Einnahme der Drogen dafür verantwortlich.“
[David admitted he was using [deletion], he stated he uses them as a coping strategy but also stated it is a way of self-harming. He said he had suicidal thoughts last Thursday but blames the drugs for him feeling this way (Rn. 47).]
Ziel: Schadensersatz aufgrund von Datenschutzverletzung
Im Jahre 2018 trat sowohl die DSGVO als auch das darauf basierende britische Datenschutzgesetz von 2018 (Data Protection Act 2018) in Kraft. Im Juli 2016 galt dagegen für den Bereich Datenschutz noch das britische Datenschutzgesetz von 1998 (Data Protection Act 1998 – DPA 1998). Der Kläger stützte sich unter anderem auf dieses Gesetz und reichte wegen „unrechtmäßiger Offenlegung sensibler personenbezogener Daten“ in Bezug auf sein Sexualleben und seinen seelischen Gesundheitszustand Klage ein (unlawful disclosure of „sensitive personal data“ concerning his sexual life and mental health) (Rn. 53).
Die Klage verfolgte auch den Zweck, finanziellen Schadensersatz geltend zu machen. Herr Scott war bis einschließlich 2016 als Berater für nukleare Sicherheit tätig. In diesem Zusammenhang musste er sich regelmäßig Sicherheitsüberprüfungen durch die britische Behörde für Sicherheitsüberprüfungen unterziehen (United Kingdom Security Vetting – UKSV; im Urteil fälschlicherweise als UKVS abgekürzt).
Die Patientenakte seines Hausarztes würde von der genannten Behörde im Rahmen der Sicherheitsüberprüfungen eingesehen, so dass seine berufliche Karriere wegen der Offenlegung der LGBT-Stiftung „nun ruiniert“ sei (Rn. 8).
Interessant ist hier, dass § 1 Abs. 1 Buchst. c des britischen Datenschutzgesetzes von 1998 Folgendes als sachlichen Anwendungsbereich des Gesetzes definiert: „Informationen, die mit der Absicht aufgezeichnet werden, sie mit automatisierten und von Menschen gesteuerten Einrichtungen zu verarbeiten“ (information which is recorded with the intention that it should be processed by means of such equipment [= equipment operating automatically in response to instructions given for that purpose]). Dies entspricht ungefähr dem sachlichen Anwendungsbereich der DSGVO in Art. 2 Abs. 1.
Kläger: Das menschliche Gedächtnis zeichnet Daten auf
Der Kläger argumentierte im Kern, dass die im Gehirn von Frau Lambe (der Mitarbeiterin der LGBT Foundation) vorhandenen Informationen von ihr im Gedächtnis mit dem Ziel gespeichert oder aufgezeichnet worden waren, sie zu gegebener Zeit in einem automatisierten Datei- bzw. Ablagesystem zu speichern bzw. abzulegen. Daher seien diese Informationen schützenswerte Daten im Sinne der Datenschutzgesetzgebung. (Mr Scott sought to argue that the material was in effect „stored“ in Ms Lambe’s mind with a view or intention to it being put into an automated record/filing system in due course, and therefore it was „data” as defined in the DPA) (Rn. 62).
Der Vorsitzende Richter am High Court of England and Wales (EWHC) Sir Pushpinder Saini wies diese Einlassung jedoch zurück. Das Vorbringen stimme nicht mit der Systematik des britischen Datenschutzgesetzes von 1998 überein (this submission does not fit within the DPA scheme) (Rn. 62).
Im Gegenteil: „Eine verbale Offenlegung stellt keine Verarbeitung personenbezogener Daten dar.“ (a verbal disclosure does not constitute the processing of personal data) (Rn. 61). „Das britische Datenschutzgesetz von 1998 findet auf rein verbale Kommunikation keine Anwendung“ (the DPA does not apply to purely verbal communications) (Rn. 55).
Laut dem Blog der Londoner Anwaltskanzlei des Verteidigers der beklagten LGBT Foundation gelten diese vom Gericht aufgestellten Grundsätze sinngemäß auch für den sachlichen Anwendungsbereich von Art. 2 Abs. 1 DSGVO (automatisierte Verarbeitung oder zumindest Speicherung) (the reason [for rejecting the claim for breach of the DPA 1998] is that data, as defined in section 1 of the DPA and Article 2(1) of the GDPR, needs to be recorded in electronic or manual form) (Quelle: Link in diesem Absatz). Die DSGVO ist derzeit – und zumindest noch bis 31. Dezember 2020 („Brexit“) – in Großbritannien in Kraft.
Der Anwalt Christopher Knight, ein Kollege des Anwalts der Beklagten, merkte in diesem Blogeintrag an: „Wir wussten ja schon immer mehr oder weniger, dass das britische Datenschutzgesetz von 1998 nicht auf von Menschen mündlich Geäußertes anwendbar ist. Sich jedoch auf eine autoritative Quelle zu beziehen, die dies bestimmt hätte, war schon schwieriger. Glücklicherweise haben wir jetzt solch eine Quelle: Scott v LGBT Foundation Ltd.“(We all sort of know that the Data Protection Act 1998 didn’t apply to stuff people say orally, don’t we? But pointing to an authority that said so is rather harder. Luckily, now we have one: Scott v LGBT Foundation Ltd.)
Datenschutz dreht sich um Akten und Datensätze
Der Kläger merkte während des Verfahrens an, dass eine solch enge Definition von Daten „unfair“ sei (Rn. 63). Die Offenlegung sensibler privater Informationen würde nur deshalb nicht vom Datenschutzgesetz abgedeckt, weil diese Offenlegung verbal und aus dem Gedächtnis erfolgt sei. Der Vorsitzende Richter Saini wies in seiner Entscheidung jedoch darauf hin, dass das Datenschutzgesetz eben eine spezifische Systematik aufweise, die sich um „Akten, Aufzeichnungen und Datensätze sowie die Verarbeitung von Informationen drehe“ (but that is not what the DPA is concerned with: it is a very specific scheme based around records and processing) (Rn. 63).
Andere rechtliche Bereiche, insbesondere die Gesetzgebung im Bereich von Vertraulichkeit und Verschwiegenheitspflichten (the law of confidentiality), könnten durchaus auf den vorliegenden Fall Anwendung finden. Ein solcher Anspruch scheitere jedoch an der vom Kläger unterschriebenen Einschränkung der an und für sich geltenden Pflicht zur Verschwiegenheit, die deshalb in Bezug auf seinen Hausarzt in bestimmter und eingeschränkter Hinsicht nicht gelte (the duty of confidence which was undoubtedly owed to Mr Scott had a qualifier to confidentiality, or „carve out“, which permitted the very limited Disclosure to his GP) (Rn. 63).
Die Klage wurde in vollem Umfang abgewiesen (Rn. 108).
Zwar war das menschliche Gehirn sicher das Modell für die Erfindung von Registraturen und des Computers. Trotz dieser Ähnlichkeit ist es – zumindest nach englischer Rechtsprechung – aber keine „Verarbeitungseinrichtung“ und auch kein „Ablageort“ oder „Speichersystem“, und die im Gedächtnis vorhandenen Informationen sind daher auch keine „Daten“ im Sinne der Datenschutzgesetzgebung. Menschen, die Angst vor einer Zukunft haben, die von Cyborgs bestimmt wird, können aufatmen: Zumindest in dieser Hinsicht gibt es eine klare Trennung zwischen Mensch und Maschine.
Edward Viesel
Hinweis: Die Originalzitate wurden aus Gründen der besseren Lesbarkeit in der Regel ohne Hinzufügen von Auslassungszeichen gekürzt oder angepasst. Außerdem kann im Einzelfall der Numerus an den deutschen Text angepasst worden sein. Im Falle von Unklarheiten nehmen Sie bitte Bezug auf das im Text verlinkte Originalurteil (HTML sowie PDF-Datei unter „Printable PDF version“).