Datenschutzbehörde (DSB) avslår registrerads klagomål gällande personuppgiftsansvarigs behandling av personuppgifter i strid med dataskyddsförordningen (GDPR).
Av beslutet framgår att den registrerande gick in i den personuppgiftsansvariges butik. Eftersom hon inte hade någon ansiktsmask nekades hon tillträde av en butiksanställd. Hon förklarade att hon av hälsoskäl inte kunde bära ansiktsmask. Den anställde bad henne visa upp ett lämpligt läkarintyg, vilket den registrerade gjorde.
Den registrerade lämnade därefter in ett klagomål mot den personuppgiftsansvarige till DSB och hävdade att den personuppgiftsansvarige kränkt hennes rätt till privatliv eftersom det faktum att hon av hälsoskäl inte kan bära ansiktsmask är en känslig uppgift. Den personuppgiftsansvarige invände mot detta påstående och hävdade att företaget enligt § 19 i den fjärde österrikiska Covid-19-skyddsförordningen (§ 19 4. COVID-19-SchuMaV) måste kontrollera om kunderna bär ansiktsmask och, om så inte är fallet, verifiera vilka hälsoskäl som hindrar dem från att göra det. Den registrerade svarade på detta argument att förordningen strider mot dataskyddsförordningen och därför inte ska tillämpas enligt principen om EU-rättens företräde.
DSB avslog klagomålet som ogrundat. DSB ansåg att de registrerades rättigheter är tillräckligt skyddade eftersom den personuppgiftsansvariges anställda enligt § 6.1 i DSG (österrikisk dataskyddslag) är skyldiga att hålla tyst om uppgifter som de har tillgång till uteslutande i sin yrkesutövning. Vidare konstaterade DSB att skyddet av folkhälsan väger tyngre än den registrerades intresse av att inte avslöja (en del av) sin hälsa och att § 19 4. COVID-19-SchuMaV utgör ett undantag enligt artikel 9.1 (i) GDPR.