DSGVO - BDSG - TTDSG

Der Begriff der „genetischen Daten“ wird in der DSGVO insbesondere in Art. 9 DSGVO verwendet. Demnach handelt es sich bei genetischen Daten gem. Art. 9 Abs. 1 DSGVO um eine besondere Kategorie personenbezogener Daten, deren Verarbeitung besonders strikten Anforderungen unterliegt.728

381

Art. 9 Abs. 4 DSGVO ermächtigt die EU-Mitgliedstaaten in diesem Zusammenhang, für die Verarbeitung genetischer Daten auch noch zusätzliche Bedingungen, einschließlich Beschränkungen, einzuführen oder aufrechtzuerhalten. Von dieser Ermächtigung hat der bundesdeutsche Gesetzgeber insbesondere durch das Gendiagnostikgesetz Gebrauch gemacht.

382

Außerdem wird der Begriff noch in ErwG 34, der Art. 4 Nr. 13 DSGVO näher konkretisiert, und in ErwG 75 verwendet. Dieser (letztere) Erwägungsgrund konkretisiert Art. 32 DSGVO (Sicherheit der Verarbeitung) und nennt den Umstand, dass genetische Daten verarbeitet werden, als einen Faktor, der in diesem Zusammenhang bei der Beurteilung der Risiken für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen ist.

383

Genetische Daten können zugleichauch biometrische Daten i.S.d. Art. 4 Nr. 14 DSGVO (dazu näher unten Rn. 390) oder Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO sein (dazu näher unten Rn. 399), Letzteres insbesondere dann, wenn aus den genetischen Daten Aussagen bzw. Wahrscheinlichkeiten im Hinblick auf die Gesundheit (z.B. potenzielle Erkrankungen der betroffenen Person) abgeleitet werden.729

384

„Genetische Daten“ sind nach Art. 4 Nr. 13 DSGVO personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschafteneiner natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden. Als Analysen kommen nach ErwG 34 dabei insbesondere Chromosomen-, Desoxyribonukleinsäure (DNS)- oder Ribonukleinsäure (RNS)-Analysen in Betracht.

385

Der Begriff der „ Physiologie“ bezeichnet insoweit die funktionellen Vorgänge im menschlichen Organismus.730 Zum Begriff der „ Gesundheit“ siehe die Ausführungen unter Rn. 404.

386

Die Methode, wie die genetischen Daten gewonnen werden, spielt für die Einordnung nach Art. 4 Nr. 13 DSGVO grundsätzlich keine Rolle. So gibt Art. 4 Nr. 13 DSGVO zwar vor, dass diese insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person, wie z.B. von Gewebe, Haaren, Blut etc., gewonnen werden können.731 Dies wird in der Praxis auch den Regelfall bilden. Zwingend erforderlich ist dies jedoch nicht, damit Daten als genetische Daten i.S.d. Art. 4 Nr. 13 DSGVO qualifiziert werden können („ insbesondere “). Auch andere (biotechnische) Verfahren kommen dafür in Betracht.732

387

Genetische Daten können insbesondere im Forschungs- und Medizinbereichverwendet werden. Die in der Praxis derzeit wohl wichtigste Fallgruppe von genetischen Daten besteht wohl aus Daten, die aus der Analyse einer biologischen Probe der betroffenen Person gewonnen wurden und Informationen über (die Wahrscheinlichkeit von) Erkrankungen enthalten.733 Immer mehr werden genetische Daten aber auch im Rahmen der personalisierten Medizin verwendet, um individuell auf den Patienten abgestimmte Behandlungsmethoden und Therapien zu ermitteln und einzusetzen, die eine höhere Erfolgsrate versprechen als „allgemeine“ Behandlungen und Therapien.734

388

Die besondere Sensibilitätgenetischer Daten ergibt sich nicht nur aus den in ihnen enthaltenen Informationen, sondern auch aus dem Umstand, dass es sich bei ihnen i.d.R. nicht um flüchtige Eigenschaften einer Person handelt, sondern die betroffene Person diese Eigenschaften i.d.R. ihr Leben lang aufweist. Außerdem enthalten genetische Daten oftmals Informationen, die auch Aussagen über Familienangehörige des Patienten treffen (z.B. im Hinblick auf bestimmte Erkrankungsrisiken wegen bestimmter genetischer Dispositionen), sodass je nach Verwendungszusammenhang darauf zu achten ist, welche Person(en) im Einzelfall als betroffene Person(en) i.S.d. Art. 4 Nr. 1 DSGVO zu qualifizieren ist/sind.735

389

Allerdings begrenzt der Wortlaut der Vorschrift den Begriff „genetische Daten“ auf die Ergebnissederartiger Analysen. Damit fällt die jeweilige Substanz, die analysiert wird, wie z.B. Gewebe, Blut, Speichel oder Haare, also der jeweilige „Datenträger“, nicht unter den Begriff „genetische Daten“ i.S.d. Art. 4 Nr. 13 DSGVO.736

390

Biometrische Daten sind nach Art. 9 Abs. 1 DSGVO besondere Kategorien personenbezogener Daten, deren Verarbeitung besonders strikten Voraussetzungen unterliegt.737 Zudem erlaubt Art. 9 Abs. 4 DSGVO den EU-Mitgliedstaaten in diesem Zusammenhang, für die Verarbeitung biometrischer Daten auch noch zusätzliche Bedingungen, einschließlich Beschränkungen, einzuführen oder aufrechtzuerhalten. Des Weiteren wird der Begriff in der DSGVO noch in ErwG 51verwendet, der Art. 9 DSGVO näher konkretisiert. Biometrische Daten können zugleichauch genetische Daten i.S.d. Art. 4 Nr. 13 (dazu näher oben Rn. 380) oder Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO sein (dazu näher unten Rn. 399).

391

„Biometrische Daten“ sind nach Art. 4 Nr. 14 DSGVO mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmaleneiner natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten.

392

Als „Biometrie“ wird die Wissenschaft von der Zählung und (Körper-)Messung an Lebewesen bezeichnet.738 Die biometrische Erkennung durch biometrische Systeme verfolgt dabei das Ziel, mittels automatisierter Messung durch ein spezifisches Merkmal bestimmte Personen voneinander zu unterscheiden.739

393

Die Begriffsdefinition der biometrischen Daten in Art. 4 Nr. 14 DSGVO enthält zwei Voraussetzungen:

1. Es muss sich um Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen der betroffenen Person handeln, die mit speziellen technischen Verfahren gewonnen wurden.

2. Diese Verfahren müssen die eindeutige Identifizierung der betroffenen Person ermöglichen oder bestätigen.

394

Die erste Voraussetzung, um personenbezogene Daten als „biometrische Daten“ i.S.d. Art. 4 Nr. 14 DSGVO zu qualifizieren, besteht darin, dass es sich bei ihnen um Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalender betroffenen Person handeln muss, die mit speziellen technischen Verfahren gewonnen wurden. Zu den physischen bzw. physiologischen Merkmalen, also den (passiven, angeborenen, nicht veränderbaren) körperlichen Merkmalen der betroffenen Person,740 die durch spezielle technische Verfahren erfasst werden können, zählen z.B. der Fingerabdruck, das Gesicht, die Retina, die DNA, die Handgeometrie, das Ohr, die Erkennung anhand eines Thermogramms etc.741 Verhaltenstypische (aktive) Merkmale, die durch solche Verfahren erfasst werden können, sind z.B. die Unterschrift, die Stimme, der Tastaturanschlag und die Bewegung.742