DSGVO - BDSG - TTDSG

409

Ebenso handelt es sich bei der bloßen Information, dass eine Person gesundist, um ein Gesundheitsdatum, da der Begriff des „Gesundheitsdatums“ nicht an die Krankheit, sondern an die Gesundheit der betroffenen Person anknüpft.753

410

Darüber hinaus sollen nach ErwG 35 nicht nur Gesundheitsdaten „im engeren Sinne“, sondern auch Nummern, Symbole oder KennzeichenGesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO sein, die der betroffenen Person zugeteilt wurden, um diese für gesundheitliche Zwecke eindeutig zu identifizieren. Voraussetzung hierfür ist allerdings, dass es sich bei diesen Angaben überhaupt um personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO handelt (dazu näher oben Rn. 2ff.).754

411

Keine Rollefür die Qualifizierung als Gesundheitsdaten spielt grundsätzlich der Zweck der Datenverarbeitung (siehe aber zu den Implikationen des Verwendungszusammenhangsbei Vorliegen von mittelbaren Gesundheitsinformationen unten Rn. 414). So können Gesundheitsdaten z.B. zu medizinischen, aber auch zu Forschungszwecken oder zu Zwecken der Verwaltung und Abrechnung von Gesundheitsdiensten verarbeitet werden. Ebenso ist es unerheblich, ob sich die Daten auf (festgestellte) Tatsachen beziehen oder ob es sich um Prognosen, Wahrscheinlichkeiten oder Vermutungen handelt (z.B. infolge genetischer oder familiärer Prädispositionen).755

412

Eine Einschränkung findet der Begriff „Gesundheitsdaten“ aber in den Erfordernissen, dass sich die Daten auf die Gesundheit der betroffenen Person „ beziehen“ und aus ihnen „ Informationen über deren Gesundheitszustand hervorgehen“ müssen. So ist es zwar nicht zwingend erforderlich, dass sich Daten unmittelbarauf die Gesundheit der betroffenen Person beziehen, wie z.B. bei der Patienten-Dokumentation eines Arztes, damit sie Gesundheitsdaten gem. Art. 4 Nr. 15 DSGVO sein können. Auch Informationen, die sich mittelbarauf den Gesundheitszustand einer Person beziehen – wie z.B. Informationen über einen Arztbesuch –756 können zumindest unter gewissen Voraussetzungen unter den Begriff der Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO fallen.

413

Allerdings würde es zu einer vollständigen Ausuferungdes Begriffs der „Gesundheitsdaten“ und damit in der Folge des Anwendungsbereichs der besonders strikten Voraussetzungen für die Verarbeitung besonderer Kategorien personenbezogener Daten (insb. gem. Art. 9 DSGVO) führen, wenn jede nur mittelbare Information über den Gesundheitszustand ausnahmslos als Gesundheitsdatum i.S.d. Art. 4 Nr. 15 DSGVO qualifiziert würde. So würden dann auch Verarbeitungsvorgänge, denen kein besonderes Diskriminierungspotenzial innewohnt, wie z.B. das Einstellen des Fotos eines Mitarbeiters, der eine Brille trägt, in das Intra- oder Internet, diesen besonders strikten Verarbeitungsanforderungen unterliegen.

414

Vor diesem Hintergrund sind die Voraussetzungen „beziehen“ und „aus denen Informationen über deren Gesundheitszustand hervorgehen“ nach hier vertretener Ansicht insoweit restriktiv auszulegen.757 So beziehen sich Daten, die nur mittelbare Gesundheitsinformationenbeinhalten, nur dann auf den Gesundheitszustand der betroffenen Person, wenn sie gerade im Hinblick auf die „dahinterstehende“ Gesundheitsinformation verarbeitetwerden,758 z.B. wenn im Fall des Fotos eines Brillenträgers dieses im Hinblick auf die Sehschwäche der fotografierten Person hin ausgewertet wird.759 Zudem gehen nach hiesiger Auffassung aus solchen Daten auch nur in diesem Fall Informationen über den Gesundheitszustand der betroffenen Person hervor. Darüber hinaus ist in Anbetracht des Sinn und Zwecks des besonderen Schutzes „sensibler Daten“ zu konstatieren, dass auch nur dann, wenn solche Daten gerade im Hinblick auf die in ihnen enthaltene „dahinterstehende“ Gesundheitsinformation hin verarbeitet werden, ein besonderes Diskriminierungspotenzial besteht, welches die Anwendbarkeit der besonders strikten Verarbeitungsvoraussetzungen für besondere Kategorien personenbezogener Daten rechtfertigt und erfordert. Sofern die Daten nicht im Hinblick auf diese Inhalte verarbeitet werden, sie also nur zufällig Gesundheitsinformationen enthalten, besteht hingegen kein erhöhtes Schutzbedürfnis.760 In diesem Fall „beziehen“ sich die Gesundheitsinformationen dann auch nicht auf die Gesundheit der betroffenen Person und aus ihnen gehen dann auch keine Informationen über den Gesundheitszustand der betroffenen Person hervor. Daraus folgt: Werden Daten, die nur mittelbare Gesundheitsinformationen beinhalten, nicht im Hinblick auf die „dahinterstehende“ Gesundheitsinformation verarbeitet, sind sie auch nicht als Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO anzusehen. Somit entscheidet in solchen Fällen also nicht nur der Inhalt der verarbeiteten Daten, sondern auch der jeweilige Verwendungszusammenhang dieser Daten darüber, ob sie als Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO zu qualifizieren sind oder nicht.761

415

Dabei ist der maßgebliche Verwendungszusammenhang aus objektiver Sichtzu bestimmen.762 Abzulehnen ist nach hier vertretener Ansicht die teilweise in der Rechtsprechung und in der datenschutzrechtlichen Literatur vertretene Auffassung, nach der die subjektive Auswertungsabsicht als entscheidendes Abgrenzungskriterium angesehen wird.763 So sollen nach dieser Auffassung Daten, die mittelbare Gesundheitsinformationen enthalten, nur dann als Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO anzusehen sein, wenn die (subjektive) Absicht besteht, diese sensiblen Informationen auszuwerten – wohingegen diese Daten keine Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO sein sollen, wenn keine derartige Auswertungsabsicht besteht.764 Diese Auffassung würde nach hier vertretener Ansicht aber zu (nicht hinnehmbarer) Rechtsunsicherheit führen, weil eine subjektive Auswertungsabsicht in vielen Fällen kaum zu ermitteln ist, weshalb sie in der Konsequenz dem solchen Daten innewohnenden Diskriminierungspotenzial nach hier vertretener Ansicht nicht ausreichend Rechnung trägt.765 Allerdings kann die (bestehende oder fehlende) subjektive Auswertungsabsicht – sofern diese bekannt ist – bei der Ermittlung des objektiven Verwendungszusammenhangs zu berücksichtigen sein.766

416

Auch der Europäische Datenschutzausschussund die deutschen Datenschutzaufsichtsbehördenvertreten insoweit wohl eine restriktive Auslegung des Begriffs „Gesundheitsdaten“.767 Unklar bleibt allerdings, ob der Europäische Datenschutzausschuss die subjektive Auswertungsabsicht als Abgrenzungskriterium ansieht oder – wie hier vertreten – den objektiven Verwendungszusammenhang. So kann die maßgebliche Aussage des Europäischen Datenschutzausschusses („ Wird das Videomaterial jedoch verarbeitet, um besondere Datenkategorien abzuleiten, ist Artikel 9 anzuwenden “)768 in beide Richtungen interpretiert werden. Eventuell kann aber aus den vom EDSA in dem Zusammenhang gegebenen Beispielen geschlussfolgert werden, dass der objektive Verwendungszusammenhang auch nach Auffassung des EDSA das entscheidende Abgrenzungskriterium und die subjektive Auswertungsabsicht nur ein Indiz dafür ist.769

417

Nach hier vertretener Auffassung können die zuvor im Hinblick auf Daten, die (nur) mittelbare Gesundheitsinformationen enthalten, dargestellten Wertungen auch auf sogenannte „Mischdatensätze“ übertragen werden, also auf Datensätze, die neben Gesundheitsdateni.S.d. Art. 4 Nr. 15 DSGVO und ggf. anderen besonderen Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO auch noch nicht-sensible personenbezogene Daten beinhalten.770 Damit fällt die Verarbeitung solcher Mischdatensätze nach hier vertretener Ansicht nur dann in den Anwendungsbereich des Art. 9 DSGVO, wenn der jeweilige Datensatz gerade auf die in ihm enthaltenen besonderen Kategorien personenbezogener Daten hin verarbeitet, z.B. ausgewertet, wird.771 So besteht nach hier vertretener Auffassung auch bei Mischdatensätzen nur in diesem Fall ein Diskriminierungspotenzial, welches die erhöhten Anforderungen an die Verarbeitung von besonderen Kategorien personenbezogener Daten, insb. nach Art. 9 Abs. 2 DSGVO, zu rechtfertigen vermag. Oftmals werden in Mischdatensätzen aber ohnehin nur „mittelbare Gesundheitsdaten“ enthalten sein, z.B. wenn bei einer Videoüberwachung ein Brillenträger von der Überwachung erfasst wird, deren Verarbeitung nach hier vertretener Auffassung sowieso nur unter den unter Rn. 414f. genannten Bedingungen in den Anwendungsbereich von Art. 9 DSGVO fällt.772