Читать книгу DS-GVO/BDSG - David Klein - Страница 598

cc) Gesundheitsdaten

Weiterhin unterliegt die Datenkategorie der Gesundheitsdaten nach Art. 9 Abs. 1 einem grundsätzlichen Verarbeitungsverbot.

Gesundheitsdaten sind nach Art. 4 Nr. 15[156] personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Ausweislich ErwG 35 S. 1 gehören zu den Gesundheitsdaten alle Daten, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen.

Hinsichtlich der Systematik ist zum einen die enge Verknüpfung von Art. 9 sowie Art. 4 Nr. 14 zu den Art. 4 Nr. 13 und 14 zu beachten. Insoweit können Gesundheitsdaten zugleich biometrische oder genetische Daten darstellen, so dass sich inhaltliche Überschneidungen der Begrifflichkeiten ergeben.[157]

Indem unter den Begriff der Gesundheitsdaten alle Daten fallen, die sich auf den früheren, gegenwärtigen oder künftigen Gesundheitszustand einer Person beziehen, liegt der Begrifflichkeit ein weites Begriffsverständnis zugrunde.

Nach ErwG 35 S. 2 gehören zu den Gesundheitsdaten etwa Informationen über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person. Da aber der Anknüpfungspunkt der Gesundheitsdaten ausweislich der Definition des Art. 4 Nr. 15 der Gesundheitszustand und nicht die Krankheit ist, stellen auch etwa der Verlauf einer medizinischen Behandlung oder die Feststellung, dass eine Person vollkommen gesund ist, Gesundheitsdaten dar.[158]

Dabei ist die Herkunft der Daten (ob sie also etwa von einem Arzt, Krankenhaus oder sonstigem Angehörigen eines Gesundheitsberufes, einem Medizinprodukt oder einem In-Vitro-Diagnostikum stammen) für die Einordnung als Gesundheitsdatum nach ErwG 35 S. 2 unerheblich.[159]

Darüber hinaus stellen auch Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz oder auch aus genetischen Daten und biologischen Proben abgeleitet wurden, Gesundheitsdaten dar. So kann etwa die bloße Erfassung des (Normal-)Gewichts einer Person noch keine Information sein, die Aufschluss über den künftigen Gesundheitszustand der betroffenen Person gibt. Durch die Verknüpfung mit Informationen hinsichtlich des Alters und Geschlechts der betroffenen Person und dem Zeitraum der Dokumentation der Daten, können so allerdings Gesundheitsdaten generiert werden.[160]

Gesundheitsdaten sind auch solche Daten, die mittelbar Rückschlüsse[161] auf den Gesundheitszustand erlauben (z.B. die Schwerbehinderteneigenschaft, Angaben zu Krankheitssymptomen oder die Krankschreibungen des Arztes).[162] ErwG 35 S. 2 stellt klar, dass zu Gesundheitsdaten auch die Nummer, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese Person für gesundheitliche Zwecke eindeutig zu identifizieren, gehören. Damit fallen also auch pseudonymisierte Daten[163] (etwa eine Versicherungsnummer) unter den Begriff der Gesundheitsdaten, wenn sie Informationen zum Gesundheitszustand der betroffenen Person enthalten.[164]

Die besondere Sensibilität von Gesundheitsdaten folgt dabei insbesondere aus den möglichen Auswirkungen für den Betroffenen. Das Datenschutzrecht knüpft damit an rechtliche Grundsätze an, die bereits in § 203 StGB oder § 35 SGB I Eingang gefunden haben und so dem Betroffenen im Falle einer gesundheitlichen Notsituation und Hilfebedürftigkeit versichern, dass ihnen keine Nachteile aus einer unrechtmäßigen Datenverarbeitung oder einer Weitergabe an Dritte erwachsen.[165]

Da es ausweislich des Wortlauts des Art. 4 Nr. 15 sowie des ErwG 35 nicht darauf ankommt, wer die Gesundheitsdaten generiert, ist in der Praxis insbesondere die Nutzung von Lifestyle- und Gesundheits-Apps relevant.[166] Gerade Auswertungen von Gesundheitsdaten im Rahmen von Big Data-Anwendungen[167] werden Verantwortliche hinsichtlich einer genauen Zweckbestimmungen vor dem Hintergrund der erhöhten Anforderungen an eine Verarbeitung aus Art. 9 vor Herausforderungen stellen. Besonders problematisch ist v.a. die Praxis mancher Unternehmen, auch sensible Daten der Nutzer an Dritte weiterzuleiten. Die DSK[168] betont, dass die Weiterleitung mittels Tracking- und Analysetools gewonnener Gesundheitsdaten durch Verantwortliche an Dritte ohne Kenntnis oder adäquate Einbindung der Betroffenen (etwa mittels Einwilligung nach Art. 9 Abs. 2 lit. a) datenschutzrechtlich unzulässig ist.[169] Insbesondere vor dem Hintergrund der EuGH-Rechtsprechung zur gemeinsamen Verantwortlichkeit (vgl. Kommentierung zu Art. 4 Nr. 7 Rn. 140) betont die DSK, dass auch Betreiber von Gesundheitswebsites oder -Apps für die Datenweitergabe verantwortlich sind, auch wenn sie selbst keinen eigenen Zugriff auf die an die Dritten weitergeleiteten Daten haben.[170] Insofern ist auch für die Datenweitergabe ein Erlaubnistatbestand notwendig. Hierbei sind insbesondere die Transparenzanforderungen an eine wirksame Einwilligung zu beachten.[171] Dies wurde im Zuge der COVID-19-Pandemie insbesondere im Rahmen der Entwicklung von sog. Corona-Apps[172] virulent (dazu auch Art. 4 Nr. 1 Rn. 47 und Art. 4 Nr. 5 Rn. 109). Die Feststellung einer Infektion eines App-Nutzers stellt die Verarbeitung eines Gesundheitsdatums dar und muss sich demzufolge an den Voraussetzungen von Art. 9, insbes. Abs. 2 lit. a und i, messen lassen (dazu Rn. 131 und Rn. 202).[173]

Ein praxisrelevantes Beispiel für eine Verarbeitung von Gesundheitsdaten liegt in der Zoonosenforschung. Zoonosen sind „Infektionskrankheiten, die wechselseitig zwischen Mensch und Tier übertragen und durch Viren, Bakterien, Parasiten oder Prionen ausgelöst werden können“[174]. Aus diesem Forschungsgebiet entwickelte sich eine Forschungsplattform für Zoonosen, die als One-Health-Netzwerk die Zoonosen- und Infektionsforschung koordiniert.[175] Dieses Anwendungsfeld ist nicht nur ein Beispiel für eine Big Data-Anwendung, sondern auch dafür, dass letztlich Daten über Tiere zu Gesundheitsdaten für die betroffenen Personen werden können und zeigt die Weite des Anwendungsbereichs des Gesundheitsdatums auf. Als Rechtfertigungstatbestand kommt insbesondere Art. 9 Abs. 2 lit. j in Betracht.

Ein weiteres Beispiel für die Verarbeitung von genetischen Daten bzw. Gesundheitsdaten sind Biodatenbanken und klinische Prüfungen. Biodatenbanken sind eine „Sammlung, Archivierung und ggf. Aufbereitung von menschlichen Biomaterialien“[176]. Im Rahmen dieser Datenbanken werden bestimmte menschliche Merkmale oder Eigenschaften erforscht, die die Entstehung bestimmter Krankheiten beeinflussen, um so Behandlungsmethoden und Präventionsansätze zu entwickeln.[177] Da es sich bei den verarbeiteten Daten um genetische Daten bzw. um Gesundheitsdaten handelt, ist Art. 9 einschlägig. Eine andere spezialgesetzliche Grundlage findet bei Biodatenbanken oftmals keine Anwendung, weil § 2 Abs. 2 Nr. 1 GenDG den Bereich der Forschung in sachlicher Hinsicht ausklammert.[178] Als Rechtfertigung kommt insbesondere Art. 9 Abs. 2 lit. j in Betracht, wenn die Biodatenbank Forschungszwecken dient. Andernfalls ist sind Abs. 2 lit. h und i einschlägig. Auch kann lit. e einschlägig sein. Zur Datenverarbeitung von Gesundheitsdaten zu Forschungszwecken vgl. Art. 89 Rn. 31 ff.

Im Rahmen von klinischen Prüfungen stellt sich zunächst die Frage nach dem Verhältnis des Arzneimittelgesetzes (AMG) zur DS-GVO. Da das AMG vor allem auf die VO (EU) Nr. 536/2014[179] zurückgeht, die nach Ansicht des EDSA[180] eine stärkere Harmonisierung der Bestimmungen für die Durchführung klinischer Prüfungen bezwecken soll, die DS-GVO demgegenüber den Schutz personenbezogener Daten betrifft, stehen die Verordnungen in keinem hierarchischen Verhältnis zueinander, sondern dienen unterschiedlichen Zwecken und finden daher nebeneinander Anwendung.[181] Da die Verarbeitung der Daten der Prüfungsteilnehmer eine Verarbeitung sensibler Daten darstellt, ist hinsichtlich einer Rechtfertigung insbesondere an lit. a und e zu denken, ggf. auch an lit. h, i und j, wenn die klinischen Prüfungen zu Forschungszwecken erfolgen (dazu auch Art. 89 Rn. 31 f.).[182] Zudem sind die §§ 22, 27 BDSG zu beachten. Hinsichtlich der Einwilligung ist insbesondere das Konkurrenzverhältnis zu § 40 Abs. 2a S. 2 Nr. 2 AMG problematisch, weil dieser abweichend von Art. 7 Abs. 3 die Unwiderruflichkeit der Einwilligung in die Datenverarbeitung statuiert.[183] Denn § 40 Abs. 2a S. 2 Nr. 2 AMG bezieht sich nur auf die Möglichkeit des Widerrufs einer Einwilligung in die Teilnahme an der klinischen Prüfung nach § 40 Abs. 1 S. 3 Nr. 3 lit. c AMG, nicht aber auf die Möglichkeit des Widerrufs der Einwilligung in die damit einhergehende Datenverarbeitung und steht damit im Widerspruch zu Art. 7 Abs. 3 DS-GVO.[184] Insofern genießt die DS-GVO gegenüber dem AMG bis zur Anpassung des AMG Anwendungsvorrang.[185] Die Wirksamkeit der datenschutzrechtlichen Einwilligung richtet sich dementsprechend nach den Anforderungen aus Art. 6 Abs. 1 S. 1 lit. a, Art. 7 und Art. 9 Abs. 2 lit. a. Demgegenüber gelten hinsichtlich der Voraussetzungen für eine wirksame Einwilligung für die Teilnahme an einer klinischen Prüfung die Vorschriften der VO (EU) Nr. 536/2014 bzw. deren Art. 29 sowie die Vorschriften des AMG. Dies sieht die DS-GVO in ErwG 156 S. 7, 161 ausdrücklich vor.

Ein weiteres Anwendungsfeld liegt in der Übermittlung von Daten zwischen Krankenkassen und einer anderen (privaten) Versicherung.[186] Relevant wird diese Fallgruppe praktisch etwa dann, wenn eine Krankenkasse zur Geltendmachung von Regressansprüchen die Gesundheitsdaten ihres Versicherten an die private Haftpflichtversicherung des Schädigers übermittelt.[187] Es handelt sich hierbei um eine rechtfertigungsbedürftige Verarbeitung von Gesundheitsdaten nach Art. 9. Das deutsche Gesundheits- und Sozialrecht enthält allerdings ein bereichsspezifisches Datenschutzrecht (z.B. §§ 35 SGB I, 67 ff. SGB X, 213 VVG), das gegenüber § 22 BDSG nach § 1 Abs. 2 S. 1 und 2 BDSG vorrangig ist.[188] Bei der Verarbeitung von Gesundheitsdaten durch private Versicherungsunternehmen ist demgegenüber die DS-GVO einschlägig. Als Rechtfertigungstatbestände kommen dann insbesondere Art. 9 Abs. 2 lit. a, b und f in Betracht.[189]

Подняться наверх