Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 377

121

Zur Dopingbekämpfung werden bei Leistungssportlern Kontrollen innerhalb und außerhalb von Wettkämpfen (Dopingkontrollen) durchgeführt.155 Hierzu werden auf der Grundlage des den „World Anti Doping Code“156 umsetzenden „Nationalen Anti Doping Code“ (NADC 2021)157 der Nationalen Anti Doping Agentur Deutschland (NADA)158 Urin- oder Blutproben von Athleten entnommen und analysiert, um verbotene Substanzen oder Methoden nachzuweisen oder zum Zwecke der Dopingbekämpfung Profile relevanter Parameter im Urin oder Blut eines Athleten, mithin besondere Kategorien personenbezogener Daten, zu erstellen. Hierzu zählt auch die DNS- oder Genomprofilerstellung (Art. 6 Abs. 2 NADC).

122

Von den Sportverbänden benannte Kaderathleten werden einem Testpool zugeordnet und müssen, um für unangemeldete Kontrollen „zu jeder Zeit und an jedem Ort“ (Art. 5.3.2 NADC) zur Verfügung zu stehen, nach Art. 5.3.1 NADC in Verbindung mit dem „Standard für Ergebnismanagement-/Disziplinarverfahren“159 genaue Angaben über Wohnsitze und jede Änderung der Wohnanschrift, über den gewöhnlichen Aufenthaltsort bei mehreren Wohnsitzen, Ort und Zeit des Trainings, Ort und Zeit von Wettkämpfen und Trainingslagern, über die telefonische Erreichbarkeit bei Verlassen des gewöhnlichen Aufenthaltsortes und An- und Abmeldungen bei Abwesenheit vom gewöhnlichen Aufenthaltsort machen. Es liegt auf der Hand, dass damit über diese Sportler ein genaues Bewegungsprofil entsteht, und sie sich dadurch in ihren Persönlichkeitsrechten verletzt sehen können. Die betroffenen Sportler müssen sich der Meldepflicht unterwerfen und geben höchst sensible Profildaten in das internetbasierte Anti-Doping Administration & Management System (ADAMS) ein.

123

Die Datenerhebung durch die Blut- oder Urinprobe im Einzelfall und die Teilnahme von Kader- bzw. Testpoolathleten am Meldeverfahren erfolgen aufgrund schuldrechtlicher Erklärungen der betroffenen Athleten, die sie regelmäßig im Rahmen ihrer Lizenzerteilung (bei Mannschaftssportarten: Sportler- oder Spielerpass bzw. Spielerausweis oder bei Individualsportarten mittels sog. Athletenvereinbarungen) gegenüber den jeweiligen Sportverbänden abgeben und hierbei die Regelwerke anerkennen. Diese Regelwerke der Spitzenverbände des Sports einschließlich der Anti-Dopingbestimmungen entsprechen regelmäßig dem NADC bzw. machen diesen und seine Standards zum Bestandteil der eigenen Verbandsbestimmungen. Die Verweigerung der Teilnahme an einer Dopingkontrolle oder am Meldeverfahren und die Abwesenheit am angegebenen Ort innerhalb der angemeldeten täglichen kurzen Zeitfenster würde den Ausschluss der Athleten vom Wettkampfsport bedeuten und als Dopingverstoß die Sanktionen (Sperre ggf. in Kombination mit Geldstrafe) gemäß dem NADC bzw. den Anti-Dopingbestimmungen des jeweiligen Sportfachverbandes nach sich ziehen.

124

Auf eine schuldrechtliche „Vereinbarung“ kann eine datenschutzrechtliche Zulässigkeit nicht gestützt werden, wenn der Verantwortliche, hier die NADA, von den Aktiven erhobene personenbezogene Daten einschließlich der Gesundheitsdaten, die den besonderen Kategorien personenbezogener Daten zuzuordnen sind, verarbeitet. Die Verarbeitung von Gesundheitsdaten ist nach Art. 9 Abs. 1 DSGVO verboten, wenn nicht ein Erlaubnistatbestand vorliegt. Eine fachspezifische Regelung der Verarbeitung von Gesundheitsdaten für Zwecke der Dopingbekämpfung enthält die DSGVO nicht.

125

Art. 9 Abs. 2 lit. a DSGVO sieht als Ausnahme vom Verbot der Verarbeitung personenbezogener Daten die Einwilligung der betroffenen Person vor. Danach ist die Verarbeitung dann nicht untersagt, wenn die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat. Fraglich ist, ob die Athleten wirksam eingewilligt haben. Voraussetzung dafür ist, dass die Einwilligungserklärung freiwillig erfolgte, also ohne Ausübung eines Zwangs (siehe Rn. 88ff.). Wenn man den Verzicht auf den Leistungs- und Wettkampfsport richtigerweise nicht als Alternative in Betracht zieht, liegt keine echte Wahlfreiheit für die Athleten vor. Ohne Einwilligung werden sie zu Wettkämpfen der Verbände nicht zugelassen. Von Freiwilligkeit in ihrer Entscheidung kann daher nicht ausgegangen werden.160 Die Unterzeichnung einer Vereinbarung erfolgt hier nicht freiwillig, sondern ist fremdbestimmt und erfolgt letztlich unter Zwang;161 denn schließlich bleibt den Athleten keine andere Wahl.

126

Es ist auch nicht von einer informierten Einwilligung auszugehen, wenn es in der vorformulierten Einwilligungserklärung heißt, dass „allen gemäß NADA- und WADA-Code zuständigen Organisationen“ Laborergebnisse der betroffenen Sportler mitgeteilt werden dürfen, ohne dass dem Sportler bekannt ist, wer diese Organisationen sind. In den Verpflichtungserklärungen, die bei der Beantragung einer Lizenz zu unterzeichnen sind, wird pauschal darauf verwiesen, dass die Statuten und Reglements vorbehaltlos anerkannt werden. Diese pauschalen Verweisungen, in denen nicht einmal die bis 2020 üblichen Eintragungen von Sanktionen in die öffentlich zugängliche Datenbank NADAjus mit Vornamen und erstem Buchstaben des Nachnamens erwähnt wurden, erfüllen nicht die Anforderung aus Art. 7 Abs. 2, 4 Nr. 11 DSGVO an die für eine informierte Einwilligung erforderliche Transparenz. Die Einwilligung müsste bestimmt in dem Sinne sein, dass sie Inhalt, Zweck und Tragweite hinreichend konkretisiert.162 Auch weil es an der Transparenz über die Empfänger einer Datenübermittlung fehlt, ist die Einwilligungsklausel in Verpflichtungserklärungen unzulässig und damit eine etwaige, auf dieser Klausel beruhende Einwilligung unwirksam. Das ist sie auch deswegen, weil es keine Belehrung über das Widerrufsrecht gibt.

127

Die Sportler sind auch verpflichtet, sich bei der von der WADA betriebenen Datenbank ADAMS anzumelden, damit dort personenbezogen die Ergebnisse der Dopingkontrollen und die Aufenthaltsorte (Whereabouts) eingetragen werden können. Bei der Registrierung ist eine weitere Einverständniserklärung abzugeben, die aus den vorgenannten Gründen wegen fehlender Freiwilligkeit und Transparenz ebenfalls unwirksam ist. Das derzeitige Meldeverfahren, das auf einer Einwilligung in ein nicht-transparentes, unsicheres Verfahren beruht, ist daher unzulässig.

128

Soweit an die WADA Ergebnisse der Dopingkontrollen gemeldet werden, müsste die Einwilligung auch in eine Datenübermittlung in einen Drittstaat erfolgen, für das es keine Garantien dafür gibt, dass ein vergleichbares Datenschutzniveau hergestellt ist. Das auf die WADA anzuwendende Datenschutzrecht aufgrund einer Selbstbindung der Organisation liegt unterhalb des Niveaus der DSGVO, sodass auch unter diesem Aspekt die Wirksamkeit einer Einwilligung fragwürdig ist, weil hier die schutzwürdigen Interessen des Sportlers bei der Auslandsübermittlung (siehe Art. 49 Rn. 4) beeinträchtigt sind.

129

Wenn eine Einwilligung als Erlaubnis für die Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 2 lit. a DSGVO nicht in Betracht kommt, müsste es eine gesetzliche Erlaubnis sowohl für die Erhebung (1. Stufe der Prüfung) als auch für die Drittstaatenübermittlung (2. Stufe der Prüfung) geben. Die könnten sich aus dem (nationalen) Anti-Doping-Gesetz (AnitDopG) ergeben.163 Das Gesetz regelt auch die Erhebung und Übermittlung personenbezogener Daten von Sportlern zu dem in § 1 AntiDopG genannten Zweck. Dieser besteht in „der Bekämpfung des Einsatzes von Dopingmitteln und Dopingmethoden im Sport, um die Gesundheit der Sportlerinnen und Sportler zu schützen, die Fairness und Chancengleichheit bei Sportwettbewerben zu sichern und damit zur Erhaltung der Integrität des Sports beizutragen“. Nach § 9 AntiDopG ist die (private) Stiftung Nationale Anti Doping Agentur Deutschland (NADA) berechtigt, die in einem Katalog aufgeführten personenbezogenen Daten von Personen, die zu dem Kreis der einer Dopingkontrolle unterliegenden Sportler gehören, zu erheben, zu verarbeiten und zu nutzen, soweit dies zur Durchführung ihres Dopingkontrollsystems erforderlich ist. Außerdem dürfen nach § 10 Abs. 1 AntiDopG Gesundheitsdaten (u.a. Blut- und Urinwerte sowie aus anderen Körperflüssigkeiten gewonnene Werte) für Analysen durch anerkannte Labore erhoben werden. § 10 Abs. 2 AntiDopG erlaubt, Analyseergebnisse u.a. an „einen internationalen Sportfachverband, einen internationalen Veranstalter von Sportwettkämpfen oder an die Welt Anti-Doping Agentur zu übermitteln, soweit dieser oder diese für die Dopingbekämpfung nach dem Dopingkontrollsystem der Stiftung Nationale Anti Doping Agentur Deutschland und der Welt Anti-Doping Agentur zuständig ist und die Übermittlung zur Durchführung dieses Dopingkontrollsystems erforderlich ist“.

130

Wenn sich eine Erlaubnis für die Verarbeitung von besonderen Kategorien personenbezogener Daten aus dem Recht eines Mitgliedstaates ergeben soll, dann müsste es für diese Regelung, die das Verbot des Art. 9 Abs. 1 DSGVO aufhebt, eine Öffnungsklausel in der DSGVO geben. Abwegig wäre es, die Öffnungsklauseln aus Art. 9 Abs. 2 lit. h (Verarbeitung u.a. für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin) oder lit. i DSGVO (Erforderlichkeit der Verarbeitung u.a. aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit) heranziehen zu wollen. Ebenso wenig kann Art. 9 Abs. 4 DSGVO die gesuchte Öffnungsklausel enthalten, weil danach von den Mitgliedstaaten nur zusätzliche Bedingungen, einschließlich Beschränkungen, eingeführt oder aufrechterhalten werden dürften, die eine ansonsten erlaubte Verarbeitung wieder beschränken.

131

Als Öffnungsklausel kann damit allein Art. 9 Abs. 2 lit. g DSGVO in Betracht kommen. Danach wäre die Verarbeitung besonderer Kategorien personenbezogener Daten auf der Grundlage „des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht“ erlaubt, wenn diese Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.

132

Es ist unbestritten, dass die Dopingbekämpfung notwendig ist und daran ein erhebliches öffentliches Interesse besteht. Diskussionswürdig und letztlich von den Gerichten zu entscheiden ist aber, ob die gewählte Bekämpfungsmethode, die angesichts der Meldepflichten massiv die Persönlichkeitsrechte der Athleten verletzt, verhältnismäßig und damit erforderlich ist.

133

Es kann davon ausgegangen werden, dass die Regelung eines Mitgliedstaates, die bereits vor Beginn des Wirksamwerdens der DSGVO bestand, die Öffnungsklausel nicht zitieren muss, um mit dem europäischen Datenschutzrecht in Einklang zu stehen, sondern es ausreicht, wenn die Voraussetzungen der Öffnungsklausel erfüllt werden. Bedenklich ist es aber, wenn die in der Öffnungsklausel geforderten weiteren Bedingungen – wie hier in Buchstabe g die Bedingung, „angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person“ vorzusehen – nicht einhält. Hier müsste der nationale Gesetzgeber in einem weiteren Anpassungsgesetz dringend nachbessern. Die im Verbandsrecht und den Meldeverfahren vorgesehenen Einwilligungslösungen können unter der DSGVO dagegen keinen Bestand haben. Es wäre im Übrigen sinnvoll, wenn die datenschutzkonforme Dopingbekämpfung nicht den Mitgliedstaaten aufgrund einer Öffnungsklausel überlassen bliebe, sondern eine an Art. 8 GRCh orientierte harmonisierte Regelung getroffen würde.

134

Die DSGVO erkennt mit ErwG 112 durchaus an, dass ausnahmsweise eine Regelung eines Mitgliedstaates zur Datenübermittlung auch von besonderen Kategorien personenbezogener Daten aus wichtigen Gründen des öffentlichen Interesses erforderlich sein können. Dabei nennt der ErwG 112 ausdrücklich den internationalen Datenaustausch „zur Verringerung und/oder Beseitigung des Dopings im Sport“. Eine solche Regelung findet sich in § 10 Abs. 2 AntiDopG. Zusätzlich zu der in § 10 Abs. 2 AntiDopG enthaltenen Erlaubnis, besondere Kategorien personenbezogener Daten an „einen internationalen Sportfachverband, einen internationalen Veranstalter von Sportwettkämpfen oder die Welt Anti-Doping Agentur zu übermitteln, soweit dieser oder diese für die Dopingbekämpfung nach dem Dopingkontrollsystem der Stiftung Nationale Anti Doping Agentur Deutschland und der Welt Anti-Doping Agentur zuständig ist und die Übermittlung zur Durchführung dieses Dopingkontrollsystems erforderlich ist“, müsste außerdem geprüft werden, ob es gemäß Art. 46 DSGVO hinreichende Garantien für die Übermittlung an bzw. in ein Drittland oder eine internationale Organisation gibt. Welche der in Art. 46 Abs. 2 DSGVO aufgezählten Garantien zur Zulässigkeit der Übermittlung in diesem Zusammenhang in Betracht kommen, ist ungeklärt.

135

Soweit Sanktionen gegenüber Athleten ausgesprochen wurden, sind diese in die öffentliche, nicht zugangsbeschränkte Datenbank NADAjus eingestellt worden. Zwar wurde lediglich der Vorname und der erste Buchstabe des Nachnamens angegeben; bei selteneren Vornamen in Verbindung mit dem ersten Buchstaben des Nachnamens und der zusätzlichen Angabe der Sportart und des Verbandes muss man von personenbeziehbaren Daten sprechen, deren Verarbeitung nur mit einer Erlaubnis aus einer Einwilligung oder aus Gesetz zulässig ist. Als Rechtsgrundlage kommt – wie gezeigt – eine Einwilligung nicht in Betracht (Rn. 125ff.). Auch findet sich keine gesetzliche Erlaubnis in den §§ 9 und 10 AntiDopG für die Eintragung von Sanktionen in ein öffentliches Register. Soweit auf eine Erlaubnis aus den Statuten und Regelwerken etwa der NADA über die Öffnungsklausel des Art. 9 Abs. 2 lit. g DSGVO abgestellt wird, wäre dem entgegenzuhalten, dass Regelwerke von privatrechtlichen Organisation wie der WADA und der NADA nicht zum „Recht eines Mitgliedstaates“ gehören.

136

Soweit man entgegen der hier vertretenen Ansicht in der Eintragung eines Dopingsünders in ein Sanktionsregister keine besondere Kategorie personenbezogener Daten erkennen würde, sind Art. 6 Abs. 1 UAbs. 1 lit. c und lit. e DSGVO auszuschließen, weil die Regelwerke privater Institutionen nicht zum Recht der Mitgliedstaaten zählen und der WADA bzw. NADA nicht die Wahrnehmung einer öffentlichen Aufgabe übertragen wurden. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO ist als gesetzlicher Erlaubnistatbestand auszuschließen, weil die Eintragung von Sanktionen in ein öffentliches Register weder für die Erfüllung eines etwaigen berechtigten Interesses der NADA erforderlich ist, noch dieses Interesse der NADA gegenüber dem hier vorliegenden berechtigten Interesse der betroffenen Personen, nicht in einem öffentlichen Sanktionsregister auffindbar zu sein, zumindest gleichgestellt ist oder überwiegt.164 Eine datenschutzrechtliche Erlaubnis für die Veröffentlichung von Sanktionen, die gegenüber einem gedopten Athleten ausgesprochen wurden, in einem nicht zugangsbeschränkten öffentlichen Register liegt also nicht vor. Eine gesetzliche Erlaubnis, die diese Veröffentlichung personenbeziehbarer Dopingsünder vorsähe, wäre auch verfassungsrechtlich kaum haltbar. Es kommt also nur eine Zugangsbeschränkung in Betracht, die den Erforderlichkeitsgrundsatz beachtet, um eine Fortführung eines solchen Sportlers in einer anderen Sportart eines anderen Verbandes zu vermeiden. Die NADA hat die NADAjus-Datenbank aufgrund der datenschutzrechtlichen Bedenken (vorläufig) aus dem Netz genommen, um sie zu überarbeiten.165