David Klein - DS-GVO/BDSG

96

Ein weiteres Anwendungsfeld liegt in der Übermittlung von Daten zwischen Krankenkassen und einer anderen (privaten) Versicherung.[186] Relevant wird diese Fallgruppe praktisch etwa dann, wenn eine Krankenkasse zur Geltendmachung von Regressansprüchen die Gesundheitsdaten ihres Versicherten an die private Haftpflichtversicherung des Schädigers übermittelt.[187] Es handelt sich hierbei um eine rechtfertigungsbedürftige Verarbeitung von Gesundheitsdaten nach Art. 9. Das deutsche Gesundheits- und Sozialrecht enthält allerdings ein bereichsspezifisches Datenschutzrecht (z.B. §§ 35 SGB I, 67 ff. SGB X, 213 VVG), das gegenüber § 22 BDSGnach § 1 Abs. 2 S. 1 und 2 BDSG vorrangig ist.[188] Bei der Verarbeitung von Gesundheitsdaten durch private Versicherungsunternehmen ist demgegenüber die DS-GVO einschlägig. Als Rechtfertigungstatbestände kommen dann insbesondere Art. 9 Abs. 2 lit. a, bund fin Betracht.[189]

97

Die letzte in Art. 9 Abs. 1genannte Datenkategorie bilden Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person. Die Verarbeitung von Daten zum Sexualleben oder der sexuellen Orientierung ist daher grundsätzlich verboten.

98

Während manche[190] hinsichtlich der Begrifflichkeiten keine Unterschiede sehen, lassen sich die Begriffe doch wie folgt voneinander abgrenzen. Dabei ist freilich erneut zu betonen, dass es in der Praxis keine Auswirkungen hat, ob Daten nun unter den Begriff des Sexuallebens oder der sexuellen Orientierung subsumiert werden, da Art. 9 Abs. 1hinsichtlich der Rechtsfolgen nicht zwischen den verschiedenen Datenkategorien differenziert.

99

Zum Sexuallebengehört so etwa die Wahl der Sexualpartner oder bestimmte sexuelle Vorlieben oder Praktiken.[191] Ob der Einkauf in einem Sexshop unter die Daten zum Sexualleben fällt, wird unterschiedlich beurteilt.[192] Da die Kundeneigenschaft in einschlägigen Läden allerdings oftmals Rückschlüsse auf das Sexualleben zulässt und in Anbetracht der Sensitivität der Daten, sprechen die überzeugenderen Argumente für ein weites Begriffsverständnis.

100

Die sexuelle Orientierungerfasst demgegenüber jedenfalls die tradierten Zuordnungen wie Homo- oder Heterosexualität, aber auch alle anderen Formen der sexuellen Orientierung (etwa Bisexualität).[193]

101

Letztlich stellt diese Schutzkategorie aus Art. 9 Abs. 1eine besondere Ausprägung des Diskriminierungsverbotsaus Art. 21 GRCh dar.

102

In praktischer Hinsicht ist insbesondere die Frage relevant, ob auch Dating-Appsoder Dating-SeitenInformationen über die sexuelle Orientierung des Nutzers preisgeben und damit den Anforderungen von Art. 9unterliegen. Die Dating-App Tinder lässt sich bspw. vor der Nutzung das Recht einräumen, etwa Facebook-Likes, Tinder-Chats und Instagram-Bilder auszuwerten. Anhand dieser Einstellungen liefert die App dann den scheinbar perfekten Partner. Aus diesen Angaben und dem Nutzerverhalten lassen sich zweifellos Rückschlüsse auf die sexuelle Orientierung des Nutzers ziehen. So gibt doch die Frage, ob sich ein Nutzer bei Tinder oder bei Grinder anmeldet Aufschluss über dessen Hetero- oder Homosexualität. Die Möglichkeit der Erstellung von Fake-Profilen im Rahmen der Apps reicht dabei nicht aus, um die hinreichende Wahrscheinlichkeit hinsichtlich der Möglichkeit aussagekräftige Rückschlüsse zu ziehen, zu entkräften. Folglich sind auch solche Daten als Daten zur sexuellen Orientierung zu bewerten und unterfallen Art. 9.

103

Der Gesetzgeber hat im Zuge der DS-GVO das Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und Umsetzungsgesetz – DSAnpUG)[194] verabschiedet. Es trat zusammen mit der DS-GVO am 25. Mai 2018 in Kraft. Teil des DSAnpUG ist in Art. 1 ein neues BDSG (im Folgenden BDSG n.F.). Ende 2019 hat der Gesetzgeber durch das 2. DSAnpUG unter anderem § 22 BDSGmit Wirkung zum 26.11.2019 geändert.[195]

104

§ 22 BDSGn.F. regelt die Verarbeitung besonderer Kategorien personenbezogener Daten. Dabei macht er von den Öffnungsklauseln des Art. 9 Abs. 2 lit. b(durch § 22 Abs. 1 Nr. 1 lit. a BDSG n.F.), Art. 9 Abs. 2 lit. g(durch § 22 Abs. 1 Nr. 1 lit. d, Nr. 2 lit. a–c BDSG n.F.), Art. 9 Abs. 2 lit. hi.V.m. Abs. 3(durch § 22 Abs. 1 Nr. 1 lit. b BDSG n.F.) sowie des Art. 9 Abs. 2 lit. i(durch § 22 Abs. 1 Nr. 1 lit. c BDSG n.F.) Gebrauch.[196]

105

§ 22 Abs. 1 BDSGn.F. legt die Voraussetzungen fest, unter denen die Verarbeitung besonderer Kategorien personenbezogener Daten ausnahmsweise zulässig sein kann. Hierbei ist zu berücksichtigen, dass § 22 Abs. 1 Nr. 1 BDSG n.F. öffentliche und nichtöffentliche Stellen erfasst, während § 22 Abs. 1 Nr. 2 BDSG n.F. nur die öffentlichen Stellen nennt.[197]

106

Die Regelung des § 22 Abs. 1 Nr. 1 lit. a BDSG n.F. schafft die Voraussetzungen, dass die Verarbeitung des Verantwortlichen zur Erfüllung der in Deutschland geltenden sozial- und sozialversicherungsrechtlichen Pflichten unverändert fortgeführt werden können. Neben der Regelung im BDSG n.F. können auch die in den Gesundheits- und Sozialgesetzen geregelten Datenverarbeitungen eine entsprechende Rechtsgrundlage bilden.[198] Die datenschutzrelevanten Vorschriften des SGB sind mit Blick auf die DS-GVO novelliert worden.

107

Inhaltlich entspricht § 22 Abs. 1 Nr. 1 lit. a BDSG n.F. dem Regelungsgehalt des Art. 9 Abs. 2 lit. b. Insofern ergeben sich keine Abweichungen. Zwar wird deshalb teilweise[199] ein Verstoß gegen das europarechtliche Normwiederholungsverbot diskutiert. Gleichwohl übersieht eine derartige Betrachtung, dass laut ErwG 8 die Mitgliedstaaten Teile der DS-GVO in ihr nationales Recht aufnehmen können, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften verständlicher zu machen. Insofern ist die punktuelle Wiederholung einzelner Passagen der DS-GVO zulässig.[200] Seinem Ausgestaltungs- und Konkretisierungsauftrag kommt der Gesetzgeber dabei durch den Erlass bereichsspezifischer Datenschutzregelungen nach. Insofern hindert die Wiederholung die unmittelbare Wirkung der Verordnung nicht. Der deutsche Gesetzgeber hat daher in zulässiger Weise von der Öffnungsklausel Gebrauch gemacht. [201] In praktischer Hinsicht findet § 22 Abs. 1 Nr. 1 lit. a etwa bei Datenverarbeitungen durch öffentliche oder nichtöffentliche Stellen Anwendung, z.B. um Rechte im Bereich des Sozialschutzes geltend zu machen oder auszuüben.[202] Zu beachten ist aber, dass entsprechend § 1 Abs. 2 BDSG das bereichsspezifische Datenschutzrecht des SGB den Regelungen des BDSG vorgeht.[203]

108

§ 22 Abs. 1 Nr. 1 lit. b BDSG n.F.stellt eine Umsetzung von Art. 9 Abs. 2 lit. hi.V.m. Art. 9 Abs. 3dar. Dabei wurde auf eine explizite Nennung der Arbeitsmedizin verzichtet, da der Begriff der Gesundheitsvorsorge den Begriff der arbeitsmedizinischen Vorsorge umfasst.[204] Darüber hinaus wurde auf die Aufnahme der Arbeitsmedizin verzichtet, da es in Deutschland keine Verarbeitung von sensiblen Daten zu Zwecken besonderer Facharztrichtungen (z.B. der Arbeitsmedizin) gibt. Die Verarbeitung erfolgt vielmehr jeweils anhand ihrer entsprechenden Zwecke, die sich aus § 22 Abs. 1 Nr. 1 lit. b BDSG n.F. unmittelbar ergeben. Mit der vom deutschen Gesetzgeber gewählten Formulierung wird folglich klargestellt, dass mit § 22 Abs. 1 Nr. 1 lit. b BDSG n.F. in erster Linie der Behandlungsvertrag gem. §§ 630a ff. BGB, gemeint ist.[205] Daher findet die Vorschrift vor allem in der Humanmedizin, also für (Zahn-)Ärzte, Psychotherapeuten oder Kinder- und Jugendlichenpsychotherapeuten Anwendung. Darüber hinaus werden vom Behandlungsvertrag auch Angehörige anderer Heilberufe, deren Ausbildung nach Art. 74 Abs. 1 Nr. 19 GG durch Bundesgesetz (Hebammen, Masseure und medizinische Bademeister, Ergotherapeuten, Logopäden, Physiotherapeuten u.a.) geregelt ist, oder Heilpraktiker erfasst.[206] Ein weiteres Anwendungsfeld von § 22 Abs. 1 lit. b BDSG ergibt sich zudem im Rahmen der Tätigkeit von Krankenkassen. Sofern diese Abrechnungsdatenvon Ärzten, etwa in Gestalt eingereichter Rechnungen für Prothesen, erhalten und die Krankenkasse diese Daten in einer Datenbank sammelt und dahingehend auswertet, ob sich Rückschlüsse im Hinblick auf die Qualität der Prothesen ermitteln lassen, so dient diese Maßnahme der Produktverbesserung letztlich ebenfalls der Gesundheitsvorsorgeund ist abweichend vom Verbotsgrundsatz des Art. 9 Abs. 1nach § 22 Abs. 1 lit. b BDSG im Rahmen einer Interessenabwägung zulässig. Zu beachten ist allerdings, dass entsprechend der Vorgaben nach § 22 Abs. 2 BDSG angemessene Maßnahmen zum Schutz der Daten der betroffenen Person vorzusehen sind. Dies kann unter anderem dadurch erreicht werden, dass die personenbezogenen Daten, die sich aus den Abrechnungen ergeben, entsprechend den Vorgaben aus § 22 Abs. 2 Nr. 7 BDSG nach Art. 4 Nr. 5pseudonymisiert werden und nur ein Notar den Schlüssel für eine Reidentifikation besitzt. Die Vorschrift findet damit auch Anwendung auf Medizingerätehersteller(etwa von Beatmungsanlagen oder Insulinpumpen), die zur Vorhersage und Minimierung von Fehlerquellen im Rahmen der Produktentwicklung Daten, die sich aus Wartungsarbeiten oder der Herstellung ergeben, auswertet und im Hinblick darauf überprüft, ob diese Daten Rückschlüsse auf mögliche Fehlerquellen und Verbesserungen im Rahmen des Herstellungsprozesses zulassen. Gerade sofern im Rahmen einer Arbeitskontrolle auch Beschäftigtendaten nach Art. 88verarbeitet werden, so kann diesen besonderen Anforderungen dadurch Rechnung getragen werden, dass im Rahmen einer Betriebsvereinbarung die Einwilligung aller betroffenen Arbeitnehmer eingeholt wird. Auch eine derartige Datenverarbeitung zum Zwecke der Produktverbesserung dient der Gesundheitsvorsorge und ist damit nach § 22 Abs. 1 lit. b BDSG im Rahmen einer Interessenabwägung zulässig, solange der Kriterienkatalog des § 22 Abs. 2 BDSG hinreichend beachtet wird.