David Klein - DS-GVO/BDSG

187

Art. 9 Abs. 2 lit. hentspricht dabei Art. 8 Abs. 3 DSRL, der bisher Fragen der medizinischen Datenverarbeitung regelte.[313]

188

Hinsichtlich der Systematik und Abgrenzung zu anderen Ausnahmetatbeständendes Art. 9 Abs. 2ist Folgendes festzuhalten: Art. 9 Abs. 2 lit. hist dabei zunächst von Art. 9 Abs. 2 lit. iabzugrenzen, der sich ebenfalls mit der Gesundheitsversorgung befasst. Dabei bezieht sich der Anwendungsbereich des Art. 9 Abs. 2 lit. hauf die Notwendigkeit der informationstechnischen Verarbeitungvon Daten im Gesundheits- und Sozialbereich und nimmt daher Rücksicht auf die systemischen Verarbeitungsabläufe in diesen Bereichen.[314] Demgegenüber erfasst Art. 9 Abs. 2 lit. idie gefahrenabwehrrechtliche Komponenteim Gesundheitswesen. Der Teilbereich der medizinischen Forschungwird demgegenüber von Art. 9 Abs. 2 lit. jerfasst.[315]

189

Hinsichtlich Art. 9 Abs. 2 lit. henthält ErwG 53 S. 1nähere Erläuterungen: Danach erfolgt die Datenverarbeitung nach Art. 9 Abs. 2 lit. hinsbesondere im Zusammenhang mit der Verwaltung der Dienste und Systeme des Gesundheits- und Sozialbereichs. In diesem Bereich soll also die Verarbeitung sensibler Daten ausnahmsweise erlaubt sein.

190

Der Grund dafür liegt insbesondere in der Gewährleistung der Funktionsfähigkeit der Erbringung von Dienstleistungen im Gesundheits- und Sozialapparatesund der Berücksichtigung der Entwicklungen hinsichtlich der informationstechnischen Verarbeitung von personenbezogenen Daten. Dies zeigt sich bereits an der Zunahme von Big Data-Anwendungen im Gesundheitsbereich.[316]

191

Vom Anwendungsbereich des Art. 9 Abs. 2 lit. hwerden somit zunächst medizinische Dienstleistungenerfasst. Damit sind sowohl Verarbeitungen im Bereich der Prävention, Diagnostik als auch Behandlungen kurativer oder nachsorgender Art.[317] Die Verarbeitung muss sich dabei auf die Behandlung selbstoder auf die damit zusammenhängende verwaltungstechnische Tätigkeitbeziehen und soll die effektive medizinische Behandlung sicherstellen.[318] Damit wird etwa die Arbeit von Abrechnungsstellen ebenso wie die Buchführung und Dokumentation der Behandlung vom Ausnahmetatbestand erfasst.[319]

192

Daneben werden Datenverarbeitungen im Sozialbereichvom Ausnahmetatbestand erfasst. Oftmals ist eine klare Abgrenzung zwischen dem Gesundheits- und dem Sozialbereich nicht möglich, in der Praxis für eine Anwendung der Ausnahmeregelung aber auch nicht notwendig. Als Leitlinie lässt sich allerdings festhalten, dass im Sozialbereich die staatliche Regulierung von (öffentlichen) Leistungen zur Schaffung sozialer Gerechtigkeit in den Vordergrund rückt, während sich die Gesundheitsvorsorge stärker auf die Sicherung der körperlichen und seelische Gesundheit bezieht.[320] Erfasst werden daher insbesondere Sozialleistungen oder sonstige Geldleistungen. Grenzfälle, die eine Zuordnung sowohl zum Gesundheits- als auch zum Sozialbereich zulassen, bilden etwa staatliche Beratungsstellen zur Suchtprävention oder soziale Dienste in Krankenhäusern.[321]

193

Zudem wird ausweislich des Wortlauts Art. 9 Abs. 2 lit. hnunmehr die Verarbeitung für Zwecke der Verwaltung von System und Diensten im Gesundheits- oder Sozialbereichvom Ausnahmetatbestand erfasst. Im Anwendungsbereich dieses Begriffs liegt dabei der gesamte organisatorische und administrative Rahmen zur Erbringung von Gesundheitsleistungen.[322] Insofern werden insbesondere Träger von Versicherungsleistungen(etwa Kranken- oder Unfallversicherung) erfasst. Dies umfasst etwa Maßnahmen der Administration, Organisation, Planung und Abrechnung i.S.d. §§ 295 ff. SGB V sowie Wirtschaftlichkeitsprüfungen (§ 106 SGB V) in derartigen Systemen.[323] In der Praxis werden so insbesondere Daten verarbeitet, die medizinische Leistungserbringer den Krankenkassen mitteilen (Leistungsdaten), aber auch Sozialdaten, wenn diese an Träger von Sozialleistungen weitergegeben werden.[324] Dabei ist die Ausnahme allerdings nicht auf die Verarbeitung von biometrischen oder genetischen Daten sowie Gesundheits- oder Sozialdaten beschränkt. Vielmehr können auch religiöse oder weltanschauliche Überzeugungen Teil der Verarbeitung sein, z.B. dann, wenn ein Patient eine Behandlung aus bestimmten religiösen oder weltanschaulichen Überzeugungen verweigert.[325] Auch die Übermittlung von Gesundheitsdaten zwischen Krankenkassen und Versicherungen stellen einen wichtigen Anwendungsfall dar, vgl. dazu bereits Rn. 93.

194

Der Begriff der Arbeitsmedizindes Art. 9 Abs. 2 lit. hbezieht sich dabei inhaltlich auf den Erhalt der Gesundheit unter Berücksichtigung der aus dem Arbeitsleben resultierenden Einflüsse, indem Gesundheitsschäden oder Krankheiten frühzeitig erkannt werden und somit elementarer Bestandteil der Gesundheitsvorsorge am Arbeitsplatzsind. In praktischer Hinsicht zeichnet sich der Bereich der Arbeitsmedizin häufig durch die Hinzuziehung eines Betriebsarztesaus. Dabei geht es in erster Linie darum, dem Arbeitgeber die Daten zur Verfügung zu stellen, die für eine Gesundheitsvorsorge am Arbeitsplatz notwendig sind.[326] Spezialgesetzliche Regelungen auf nationaler Ebene finden sich dabei insbesondere im Arbeitszeitgesetz (ArbZG), den Sozialgesetzbüchern (SGB V). In praktischer Hinsicht sind etwa die Verarbeitung von Gesundheitsdaten in Bewerbungsgesprächen oder Einstellungsuntersuchungen, Behandlungen während eines Beschäftigungsverhältnisses (z.B. Rückenschmerzen wegen falscher Sitzhaltung am Arbeitsplatz), aber auch Maßnahmen im Hinblick auf eine Arbeitsunfähigkeit oder eine Wiedereingliederung in den Arbeitsbetrieb zu nennen.[327]

195

Die aufgrund ihrer zahlreichen Anwendungsmöglichkeiten weitreichende Erlaubnisregel wird dabei über die in Art. 9 Abs. 3 [328] enthaltene Vorgabe eingegrenzt, wonach der Umgang mit sensitiven Daten nur durch Fachpersonal, dass einem Berufsgeheimnis oder einer sonstigen Geheimhaltungspflicht nach mitgliedstaatlichem Recht unterliegt, sowie unter dessen Verantwortung, zulässig ist.

196

Wie bereits oben im Rahmen von Art. 9 Abs. 2 lit. hangedeutet, bezieht sich der Ausnahmetatbestand des Art. 9 Abs. 2 lit. iauf die gefahrenabwehrrechtliche Komponenteim Gesundheitswesen. Danach ist die Verarbeitung besonderer Kategorien personenbezogener Daten aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit zulässig. Die Verarbeitung sensibler Daten für die öffentliche Gesundheit steht dabei ausweislich Art. 9 Abs. 2 lit. i Hs. 2unter dem Vorbehalt einer unions- oder mitgliedstaatlichen Regelung und enthält somit eine Öffnungsklausel.

197

Der Ausnahmetatbestand hat keine korrespondierende Vorgängerregelung in der DSRL.

198

Unter öffentlicher Gesundheitversteht der europäische Gesetzgeber nach ErwG 54 S. 3unter Bezugnahme auf die Verordnung (EG) Nr. 1338/2008 „alle Elemente im Zusammenhang mit der Gesundheit, nämlich den Gesundheitszustand einschließlich Morbidität und Behinderung, die sich auf diesen Gesundheitszustand auswirkenden Determinanten, den Bedarf an Gesundheitsversorgung, die der Gesundheitsversorgung zugewiesenen Mittel, die Bereitstellung von und den allgemeinen Zugang zu Gesundheitsversorgungsleistungen sowie die entsprechenden Ausgaben und die Finanzierung und schließlich die Ursachen der Mortalität.“ Eine solche Verarbeitung von Gesundheitsdaten darf nach ErwG 54 S. 4nicht dazu führen, dass Dritte, unter anderem Arbeitgeber oder Versicherungs- oder Finanzunternehmen, solche personenbezogenen Daten zu anderen Zwecken verarbeiten.[329] Insofern können sich private Unternehmen nicht auf den Ausnahmetatbestand berufen, es sei denn, das Unternehmen nimmt etwa als Beliehener aufgrund einer gesetzlichen Ermächtigung öffentliche Aufgaben wahr.[330]