DSGVO - BDSG - TTDSG

395

Zudem müssen diese Verfahren die eindeutige Identifizierungder betroffenen Person ermöglichen oder bestätigen, also verifizieren. Bei der Identifikation werden biometrische Daten erhoben und mit einer Vielzahl in einer Datenbank gespeicherten biometrischen Daten verglichen. Es findet somit ein 1:n-Vergleich statt. Stimmen die erhobenen Daten mit bestimmten gespeicherten Daten überein, kann mittels der diesen gespeicherten Daten zugeordneten Identität die Person identifiziert werden.743 Verifikation bedeutet, dass eine Person behauptet, eine bestimmte Identität aufzuweisen. Zur Verifikation dieser Behauptung werden dann die biometrischen Daten der Person erhoben und mit den biometrischen Daten, die im System vorliegen und dieser behaupteten Identität zugeordnet sind, verglichen. Es findet somit ein 1:1-Vergleich statt.744

396

Auch wenn der Wortlaut von Art. 4 Nr. 14 DSGVO ausdrücklich davon spricht, dass diese Systeme die „eindeutige“ Identifizierung der betroffenen Person ermöglichen oder bestätigen müssen, bedeutet dies nicht, dass biometrische Daten nur dann vorliegen, wenn die erfassten biometrischen Merkmale einzigartig auf der Welt sind. Vielmehr ist es ausreichend, wenn das Merkmal, auf das sich die biometrischen Daten beziehen, auf eine Art und Weise mit einem Menschen verbunden ist, dass es nicht einfach veränderbar ist, wie z.B. die Augenfarbe, und die Daten objektiv geeignetsind, die betroffene Person innerhalb der betroffenen Gruppe genau zu identifizieren.745

397

Fotos(bzw. „Lichtbilder“) einer Person sind mithin nur im Ausnahmefall als biometrische Daten i.S.d. Art. 4 Nr. 14 DSGVO anzusehen, wie auch ErwG 51 S. 3 klarstellt – und zwar dann, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen, so z.B. das im Personalausweis oder im Reisepass gespeicherte Foto.746

398

Unerheblichfür die Einordnung von personenbezogenen Daten als „biometrische Daten“ i.S.d. Art. 4 Nr. 14 DSGVO ist es, ob es sich bei den fraglichen Daten um Rohdaten, also um exakte Abbildungen des biometrischen Merkmals, oder um Templates handelt.747 Templates werden aus den erfassten Rohdaten extrahiert und enthalten (nur) charakteristische Kennzeichen des jeweiligen biometrischen Merkmals, z.B. Entfernungen zwischen bestimmten Punkten.748 Deshalb benötigt ein Template auch erheblich weniger Speicherplatz als die Rohdaten des biometrischen Merkmals, weshalb die Verwendung von Templates für viele Anwendungen die geeignete Variante ist.

399

Gesundheitsdaten sind nach Art. 9 Abs. 1 DSGVO eine besondere Kategorie personenbezogener Daten und werden als solche besonders stark geschützt, weshalb sie besonders strengen Verarbeitungsanforderungen unterliegen, z.B. aus Art. 9 Abs. 2 DSGVO oder §§ 22ff. BDSG.749 Der Grund hierfür besteht darin, dass Gesundheitsdaten, ebenso wie genetischen und biometrischen Daten, ein besonderes Diskriminierungspotenzialinnewohnt und sie deshalb eines besonders strikten Schutzes bedürfen.750

400

Art. 9 Abs. 4 DSGVO ermächtigt die EU-Mitgliedstaaten in diesem Zusammenhang, für die Verarbeitung von Gesundheitsdaten auch noch zusätzliche Bedingungen, einschließlich Beschränkungen, einzuführen oder aufrechtzuerhalten (siehe hierzu ausführlich Art. 9 Rn. 37).

401

Zudem wird der Begriff der Gesundheitsdaten noch an weiteren Stellen der DSGVOverwendet, und zwar in ErwG 35, der Art. 4 Nr. 15 DSGVO konkretisiert, sowie in den ErwG 53 und 54, die Art. 9 DSGVO konkretisieren, und in ErwG 75, der Art. 32 DSGVO (Sicherheit der Verarbeitung) näher konkretisiert und den Umstand, dass Gesundheitsdaten verarbeitet werden, als einen Faktor nennt, der in diesem Zusammenhang bei der Beurteilung der Risiken für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen ist. In ErwG 63 verwendet der Verordnungsgeber den Begriff „gesundheitsbezogene Daten“ im Rahmen der Klarstellung, dass der Auskunftsanspruch der betroffenen Person nach Art. 15 DSGVO auch solche Daten einschließt. Ein inhaltlicher Unterschied zu Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO dürfte aber nicht bestehen.

402

Im Übrigen verwendet der Verordnungsgeber an vielen Stellen der DSGVO den Begriff der Gesundheit, z.B. bei der Beschreibung von Zwecken, für die eine Datenverarbeitung erlaubt sein kann (wie z.B. in Art. 9 Abs. 2 lit. i DSGVO, in der die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit geregelt ist). Eine solche Datenverarbeitung beinhaltet i.d.R. die Verarbeitung von Gesundheitsdaten, auch wenn der Verordnungsgeber den Begriff an diesen Stellen nicht ausdrücklich verwendet (sondern z.B. den Begriff der besonderen Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO), so z.B. in Art. 9 Abs. 2, Art. 23 (Beschränkungen der Betroffenenrechte), Art. 36 (Vorherige Konsultation), Art. 88 (Datenverarbeitung im Beschäftigungskontext) DSGVO und in diversen ErwG.

403

Gesundheitsdaten können zugleichauch genetische Daten i.S.d. Art. 4 Nr. 13 DSGVO (dazu näher oben Rn. 380) oder biometrische Daten i.S.d. Art. 4 Nr. 14 DSGVO sein (dazu näher oben Rn. 390).

404

„Gesundheitsdaten“ sind nach Art. 4 Nr. 15 DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheiteiner natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. In diesem Zusammenhang ist es nach ErwG 35, der Art. 4 Nr. 15 DSGVO konkretisiert, unerheblich, ob es sich hierbei um den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person handelt und durch wen (oder durch was im Fall von Geräten, wie z.B. Trackern, Apps und Medizingeräten)751 diese Daten erhoben wurden.

405

Um Gesundheitsdaten handelt es sich gem. ErwG 35 z.B. bei Informationen, die von der Prüfung oder Untersuchung eines Körperteilsoder einer körpereigenen Substanz, auch aus genetischen Daten und biologischen Proben, abgeleitet wurden, und bei Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person.

406

Auch Informationen, die im Zuge der Anmeldung für Gesundheitsdienstleistungenim Sinne der Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung oder bei der Erbringung solcher Dienstleistungen über die betroffene Person erhoben werden, sind nach ErwG 35 Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO.

407

Somit fallen z.B. Patientendokumentationenvon Heilberuflern, Rezeptdaten, Laborergebnisse, Angaben über das krankheitsbedingte Fehlen und die Schwerbehinderteneigenschaft von Arbeitnehmern sowie Patiententagebücher unter den Begriff der Gesundheitsdaten.

408

Auch genetische Dateni.S.d. Art. 4 Nr. 13 DSGVO können Gesundheitsdaten sein, da sich die Qualifizierung von Daten als genetische Daten und als Gesundheitsdaten nicht gegenseitig ausschließen.752 Dies gilt genauso für biometrische Daten i.S.d. Art. 4 Nr. 14 DSGVO.