Verlautbarungen
gem. Art. 34 Abs. 3 lit. c DSGVO
Öffentliche Bekanntmachung betreffend eine Verletzung des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 3 lit. c der Datenschutz-Grundverordnung (EU) 2016/679
Im März 2026 wurde dem Wiener Gesundheitsverbund (WIGEV) eine mögliche Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der webbasierten Applikation oncare.wien bekannt. Oncare.wien ist eine Plattform des WIGEV, die Patient*innen mit onkologischer Diagnose oder Verdacht auf eine solche hilft, schnell einen passenden Termin in einer Fach- oder onkologischen Abteilung zu koordinieren.
Im Rahmen des Bug-Bounty-Programms der Stadt Wien, das der verantwortungsvollen Identifikation von Sicherheitslücken in städtischen Webseiten und digitalen Diensten dient, wurde eine kritische Sicherheitslücke in der Applikation festgestellt. Diese Schwachstelle war in vorangegangenen Penetrationstests nicht erkannt worden. Nach Bekanntwerden des Vorfalls wurde die Applikation oncare.wien umgehend außer Betrieb genommen.
Nach aktuellem Kenntnisstand bestand aufgrund der Sicherheitslücke theoretisch die Möglichkeit, dass selbstregistrierte Nutzerinnen und Nutzer mit entsprechendem technischem Fachwissen Einsicht in personenbezogene Daten anderer Patientinnen und Patienten erlangen konnten. Dadurch hätten insbesondere Vor- und Nachnamen von rund 2.800 Krebspatientinnen und -patienten sowie etwa 3.000 Terminaufzeichnungen mit Bezug zu Patientennamen eingesehen werden können. Daraus wäre ableitbar gewesen, dass bestimmte Personen onkologische Behandlungen im öffentlichen Gesundheitssystem der Stadt Wien in Anspruch nehmen. Ob es tatsächlich zu unzulässigen Zugriffen auf personenbezogene Daten gekommen ist, ist nicht eindeutig feststellbar.
Da eine eindeutige Identifizierung jener Personen, deren Daten von einer möglichen Einsichtnahme betroffen gewesen sein könnten, derzeit nicht mit hinreichender Sicherheit möglich ist, erfolgt die Benachrichtigung der betroffenen Personen gemäß Art. 34 Abs. 3 lit. c DSGVO durch diese öffentliche Bekanntmachung.
Nach derzeitigem Ermittlungsstand liegen keine Hinweise darauf vor, dass Gesundheitsdaten, medizinische Befunde oder sonstige Inhalte von Patientenakten Unberechtigten zur Kenntnis gelangt sind.
Der Vorfall wurde der österreichischen Datenschutzbehörde (DSB) gemeldet. Darüber hinaus wurden unverzüglich technische und organisatorische Maßnahmen gesetzt, um die Sicherheitslücke zu schließen, den Sachverhalt umfassend aufzuklären und vergleichbare Vorfälle künftig zu verhindern.
Diese Information wird durch den Wiener Gesundheitsverbund an dieser Stelle veröffentlicht, da aufgrund der festgestellten Sicherheitslücke nicht ausgeschlossen werden kann, dass personenbezogene Daten einzelner Nutzerinnen und Nutzer unbefugt eingesehen werden konnten. Insbesondere könnte dadurch die Information ableitbar gewesen sein, dass betroffene Personen onkologische Leistungen im öffentlichen Gesundheitssystem der Stadt Wien in Anspruch genommen haben.
Für weitere Informationen steht die Datenschutz-Ansprechperson des Wiener Gesundheitsverbundes zur Verfügung.
Datenverlust ImageArchiveComfort (DSB-GZ: D084.8070)
Was ist passiert?
Im September 2025 wurde im Wiener Gesundheitsverbund (WIGEV) ein Datenverlust in der Anwendung „ImageArchiveComfort“ festgestellt – einem System zur Speicherung von Bilddateien. Dabei sind aus technischen Gründen Bilddateien verloren gegangen, die im Rahmen der medizinischen Behandlung von Patient*innen in den Kliniken bzw. Abteilungen des WIGEV gespeichert waren. Betroffen sind ausschließlich Bilddateien, zum Beispiel Fotos zur Wunddokumentation. Nicht betroffen sind zugehörige DICOM-Metadaten, Anmerkungen zu den Bildern oder sonstige personenbezogene Zusatzinformationen.
Welche Kliniken und Abteilungen sind betroffen?
Folgende Kliniken und Abteilungen des WIGEV können von dem Vorfall betroffen sein:
- Klinik Donaustadt – Dermatologie, HNO, Orthotrauma
- Klinik Favoriten – 2. Medizin, Dermatologische Ambulanz, HNO-Abteilung, Urologie, Wundmanagement, Kinderschutzgruppe
- Klinik Floridsdorf – Allgemein- und Viszeralchirurgie, Kinder- und Jugendheilkunde
- Klinik Hietzing – Augenabteilung, 1. Chirurgie, Gefäßchirurgie, HNO, Nuklearmedizin, Pathologie
- Klinik Landstraße – Brustgesundheitszentrum, Dermatologie, Gynäkologie, HNO, Plastische Chirurgie
- Klinik Semmelweis – Gynäkologie und Geburtshilfe
- Klinik Ottakring – Plastische Chirurgie
Wie viele Personen sind betroffen?
Nach aktuellem Stand wird von ungefähr 100 betroffenen Patient*innen ausgegangen. Eine exakte Identifizierung ist aufgrund technischer Gegebenheiten leider nicht möglich.
Sind meine Befunde und meine Krankengeschichte betroffen?
Nein. Die schriftlichen Befunde sowie die Krankengeschichte sind vom Datenverlust nicht betroffen und weiterhin vollständig in den Dokumentationssystemen des WIGEV vorhanden. Verloren gegangen sind ausschließlich bestimmte Bilddateien.
Was sollten Sie tun, wenn Sie sich betroffen fühlen?
Wenn Sie in einer der oben genannten Abteilungen behandelt wurden und befürchten, dass für Ihre Behandlung relevante Bilder verloren gegangen sein könnten, wenden Sie sich bitte an die zuständige Klinik.
Welche Maßnahmen hat der WIGEV ergriffen?
Der Vorfall wurde der österreichischen Datenschutzbehörde (DSB) gemeldet. Die Entscheidung für eine Nachfolgelösung wurde getroffen. Darüber hinaus wurde der Vorfall intern analysiert und dokumentiert.
Diese Information wird durch den WIGEV an dieser Stelle veröffentlicht, da durch den Verlust der Bilddaten nicht ausgeschlossen werden kann, dass ein potenzieller Nachteil für Patient*innen dahingehend möglich wäre, dass über diese in Verlust geratenen Daten keine medizinische Verlaufsbeobachtungen, Zweitmeinungen etc. mehr durchgeführt werden können.
