David Klein - DS-GVO/BDSG

5

Der deutsche Gesetzgeber hat von den zahlreichen durch Art. 9eröffneten Gestaltungsspielräumen (insbesondere durch Art. 9 Abs. 2 lit. b, g, h, iund j) im Rahmen des neuen Bundesdatenschutzgesetzes[13] in §§ 22 [14] , 27 [15] , 28 [16] BDSG n.F.Gebrauch gemacht.[17] Ende 2019 trat das 2. DSAnpUG in Kraft durch das der Gesetzgeber die Vorschriften des BDSG, unter anderem auch § 22 BDSG, weiter an die Vorgaben der DS-GVO angepasst hat.[18]

6

§ 22 BDSGn.F. regelt die Verarbeitung besonderer Kategorien personenbezogener Daten und entspricht dabei im Wesentlichen den § 13 Abs. 2 Nr. 1, 5, 6, 7 und 9 sowie § 28 Abs. 7 BDSG a.F.[19]

7

§ 27 BDSGn.F. regelt die Datenverarbeitung zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken.

8

§ 28 BDSGn.F. bezieht sich auf die Datenverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken.

9

Die Vorgängerregelung zu Art. 9stellt Art. 8 DSRLdar. Dabei nahm die DSRL ebenso wenig wie die DS-GVO eine abstrakte Definition der besonderen Kategorien von personenbezogenen Daten vor.[20] Vielmehr statuierte Art. 8 DSRL (wie nun Art. 9) ein grundsätzliches Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten. Gleichwohl nannte Art. 8 DSRL noch nicht ausdrücklich die genetischen und biometrischen Daten und erfasste Daten über die sexuelle Orientierung einer Person nicht. Insofern erweitert Art. 9den Katalog der besonders sensiblen Daten und präzisiert den Inhalt und die Reichweite der Begriffe über die Definitionen in Art. 4 Nr. 13[21] und 14[22] DS-GVO.[23] Daneben verwendete die DSRL noch den Begriff der „philosophischen Überzeugungen“, während die deutsche Sprachfassung der DS-GVO nun von „weltanschaulichen Überzeugungen“ spricht. In inhaltlicher Hinsicht ergeben sich daraus allerdings keine Änderungen, da die englische Sprachfassung der DS-GVO wie auch schon die DSRL weiterhin die Begrifflichkeit des „philosophical beliefs“ gebraucht.[24] Für die bislang in Art. 8 Abs. 5 und 7 EU-DSRL geregelte Zulässigkeit der Verarbeitung von Daten zu Straftaten, Strafurteilen und damit zusammenhängender Sicherungsmaßnahmen sieht nun Art. 10eine gesonderte Regelung vor.[25]

10

Wie bereits oben erörtert, geht die Regelung des Art. 9inhaltlich aus Art. 8 DSRL als Vorbild hervor.

11

Im Rahmen des Gesetzgebungsverfahrensder DS-GVO lassen sich hinsichtlich der Entstehungsgeschichte von Art. 9folgende Kernaussagen festhalten: Die Kommissionnahm abweichend zu Art. 8 DSRL in den Katalog des Art. 9sowohl den Begriff der genetischen Daten auf als auch Daten über Strafurteile und Straftaten, die nun in Art. 10eine spezifische Regelung erfahren haben. Hinsichtlich der Verarbeitung von Gesundheitsdaten waren diese noch nicht von dem Katalog des Art. 9erfasst, sondern eigenständig in Art. 81 der Entwurfsfassung geregelt. [26] Für genetische Daten fand sich in der Entwurfsfassung eine Regelung in Art. 81a.[27]

12

Das Parlamentergänzte in einem nächsten Schritt den Katalog des Art. 9um die Aufnahme von weltanschaulichen Überzeugungen und erklärte die sexuelle Orientierung als besonders schützenswert.[28]

13

Ein Verzicht auf Art. 81 in der Entwurfsfassung der Kommission erfolgte durch die Initiative des Ratesund dessen Inhalt wurde in den Katalog des Art. 9integriert. Darüber hinaus erwirkte der Rat die Aufnahme der Regelung des Art. 9 Abs. 3hinsichtlich einer besonderen Regelung für Berufsgeheimnisträger.[29]

14

Eine Begriffsdefinition der sensiblen Daten war bislang in § 3 Nr. 9 BDSG a.F. enthalten, während die spezifischen Verarbeitungsbefugnisse in den §§ 13 Abs. 2, 14 Abs. 2 und 28 Abs. 6 bis 9 BDSG a.F. festgelegt waren.[30]

15

Soweit es sich bei Gesundheitsdaten zugleich um Sozialdaten i.S.v. § 67 SGB X handelt, enthalten die §§ 284 f. SGB V, 67a–f SGB X spezifische Vorgaben. Insofern wurden Gesundheitsdaten über § 3 Abs. 9 BDSG a.F. den besonders sensiblen Daten zugerechnet, das Schutzkonzept der Gesundheitsdaten folgte jedoch aus verschiedenen gesetzlichen Regelungen, etwa den Landeskrankenhausgesetzen (vgl. etwa § 24 LKG Berlin) sowie dem oben Genannten SGB V als spezifische Datenschutzvorschriften.[31]

16

Im ärztlichen Behandlungsverhältnis unterliegen Gesundheitsdaten der ärztlichen Schweigepflicht, so dass insbesondere § 203 StGB zu beachten ist.[32]

17

Sondervorschriften für die Verarbeitung von genetischen Daten enthält § 3 Nr. 11 GenDG.[33] Bei der Verarbeitung sensibler Daten, etwa im Rahmen klinischer Prüfungen, sind ferner die Vorschriften des Arzneimittelgesetzes (AMG), insbesondere § 40 Abs. 1 S. 3 Nr. 3 lit. b und c, Abs. 2a AMG als bereichsspezifisches Datenschutzrecht von besonderer Relevanz.[34] Einzelne der in Abs. 1aufgezählten Datenkategorien unterfallen zugleich den dem Schutz vor Diskriminierung dienenden Regelungen des Allgemeinen Gleichbehandlungsgesetzes (AGG). Hinsichtlich des Konkurrenzverhältnisses bereichsspezifischen Datenschutzrechts zu den Vorschriften der DS-GVO und des BDSG ist insbesondere § 1 Abs. 1 S. 1und 2 BDSG von besonderer Bedeutung. Danach gehen andere Rechtsvorschriften des Bundes über den Datenschutz dem BDSG grundsätzlich vor.

18

Indem Art. 9Teil des Kapitels II der DS-GVO ist und auf zahlreiche Datenkategorien Bezug nimmt, kommt der Vorschrift im System der DS-GVO grundsätzliche Bedeutung zu.

19

Dies ergibt sich bereits daraus, dass die Normen der Art. 6 Abs. 4 lit. c [35] , 13 Abs. 2 lit. c[36] , 17 Abs. 1 lit. b[37] , Abs. 3 lit. c[38] , 20 Abs. 1 lit. a[39] , 22 Abs. 4[40] , 27 Abs. 2 lit. a[41] , 30 Abs. 5[42] , 35 Abs. 3 lit. b[43] , 37 Abs. 1 lit. c[44] , 83 Abs. 5 lit. a[45] ausdrücklich auf Art. 9Bezug nehmen.[46] Praktische Bedeutung erlangt Art. 9insbesondere durch die Aufnahme in den Kriterienkatalog des Art. 83 Abs. 2und 5hinsichtlich der Bemessung der Bußgeldhöhe. Für das Verständnis der einzelnen Datenkategorien im Rahmen von Art. 9sind daneben die Begriffsbestimmungen aus Art. 4 Nr. 13 [47], 14 [48] und 15 [49] wesentlich.

20

Von Bedeutung ist in diesem Zusammenhang insbesondere das Verhältnis von Art. 9 und dessen Voraussetzungen zu Art. 6 .Hierbei stellt sich zum einen die Frage, ob eine Verarbeitung sensibler Daten kumulativ die Voraussetzungen von Art. 6und Art. 9erfüllen muss oder ob eine Datenverarbeitung ausschließlich am Maßstab von Art. 9 zu messen ist. Zum anderen stellt sich die Frage des Verhältnisses von Art. 9zu Art. 6 Abs. 4und dessen begrenzter Weiterverarbeitungsbefugnis im Falle einer Zweckänderung.[50] Letztlich ist zu klären, ob die begrenzte Weiterverarbeitungsbefugnis aus Art. 6 Abs. 4auch im Rahmen von Art. 9Anwendung finden kann.[51] Auch die Bundesregierung sieht hierin Schwierigkeiten, welche durch ein unterschiedliches Verständnis der Verarbeitungstatbestände in den Mitgliedstaaten flankiert werden. Sie fordert insoweit eine genauere Anleitung insb. bezüglich der Frage nach der zweckändernden Weiterverbreitung von sensiblen Daten sowie der Frage, wie mit einem Widerruf einer ursprünglich erteilten Einwilligung umzugehen ist.