David Klein - DS-GVO/BDSG

216

Hinsichtlich einer Verarbeitung für statistische Zweckeim öffentlichen Interesse trifft ErwG 162 S. 3eine eindeutige Aussage: Unter dem Begriff „statistische Zwecke“ ist jeder für die Durchführung statistischer Untersuchungen und die Erstellung statistischer Ergebnisse erforderliche Vorgang der Erhebung und Verarbeitung personenbezogener Daten zu verstehen. Diese Ergebnisse können auch für wissenschaftliche Forschungszwecke weiterverarbeitet werden, wobei dabei einschränkend erforderlich ist, dass die Ergebnisse der Verarbeitung zu statistischen Zwecken keinen personenbezogenen, sondern aggregierte Daten sind und diese Daten nicht für Maßnahmen oder Entscheidungen gegenüber einzelnen natürlichen Personen verwendet werden.

217

Die Anforderungen hinsichtlich einer Wahrung des Wesensgehalt des Rechts auf Datenschutz und des Vorhandenseins angemessener Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person überschneiden sich insoweit weitestgehend mit denen der geeigneten Garantien (vgl. dazu die Ausführungen zu Art. 9 Abs. 2 lit. b Rn. 132).

218

Allerdings stellt sich in diesem Zusammenhang die Frage, ob die angemessenen und spezifischen Schutzmaßnahmen über die Sicherungen der DS-GVO hinausgehen oder ob insoweit die Einräumung der Betroffenenrechte aus der DS-GVO genügt.[347] Hier haben die Mitgliedstaaten einen weiten Gestaltungsspielraum, durch den sie über die DS-GVO hinausgehende Schutzmaßnahmen zugunsten der Betroffenen treffen können, wie etwa die Einführung besondere Kontrollgremien im Bereich der Forschung.[348]

219

Art. 9 Abs. 3ergänzt den Ausnahmetatbestand des Art. 9 Abs. 2 lit. hund lässt die Verarbeitung in Fällen zu, in denen die besonderen Datenkategorien nach Art. 9 Abs. 1von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und die Verarbeitung durch Personen erfolgt, die nach dem Recht eines Mitgliedstaates, nach Unionsrecht oder aufgrund von Vorschriften national zuständiger Stellen einem Berufsgeheimnisoder einer Geheimhaltungspflichtunterliegen.[349]

220

Art. 9 Abs. 3findet seine Vorgängerregelung in Art. 8 Abs. 3 DSRL.

221

Hinsichtlich der Systematik und Stellung des Art. 9 Abs. 3lässt sich Folgendes festhalten: Art. 9 Abs. 3und Art. 9 Abs. 2 lit. hstellen einen einheitlichen Regelungskomplexdar, bei denen die jeweiligen Voraussetzungen kumulativvorliegen müssen.[350] Insofern verschränkt Art. 9 Abs. 3die im Rahmen von Art. 9 Abs. 1geltenden datenschutzrechtlichen Vorschriften, sofern diese zu Zwecken nach Art. 9 Abs. 2 lit. hverarbeitet werden, mit dem Berufsgeheimnis.[351] Folglich erfasst Art. 9 Abs. 3alle Fälle des Art. 9 Abs. 1, sofern diese zu Zwecken nach Art. 9 Abs. 2 lit. hverarbeitet werden.

222

Hinsichtlich des Berufsgeheimnisses und der Geheimhaltungspflicht können sich aus dem nationalen Recht zusätzliche Verarbeitungsvoraussetzungen ergeben. Art. 9 Abs. 3enthält insofern eine Öffnungsklauselfür mitgliedstaatliche Regelungen.[352] Indem Art. 9 Abs. 3hinsichtlich der inhaltlichen bzw. qualitativen Anforderungen an die Regelungen des Berufsgeheimnisses der Mitgliedstaaten aufweist, könnten auf den ersten Blick die jeweiligen mitgliedstaatlichen Regelungsinhalte stark voneinander abweichen. Gleichwohl werden diese Unterschiede bereits durch Art. 90insofern abgemildert, indem mitgliedstaatliche Regelungen notwendig und verhältnismäßig sein müssen, um das Recht auf Schutz der personenbezogenen Daten mit der Pflicht zur Geheimhaltung in Einklang zu bringen.

223

Als Schutzmaßnahme hinsichtlich der von Art. 9 Abs. 2 lit. hinsbesondere erfassten Gesundheits- und Sozialdaten nennt Art. 9 Abs. 3zunächst das Berufsgeheimnis. Insofern werden insbesondere Fallkonstellationen von Art. 9 Abs. 3erfasst, in denen die Daten von Fachpersonal, das einem Berufsgeheimnis unterliegt, verarbeitet werden. Gleichwohl ist stets entscheidend, dass die verarbeitende Person oder die Person, die die Verarbeitung verantwortet dem Berufsgeheimnis unterliegt. Insofern umfasst der Anwendungsbereich des Art. 9 Abs. 3nicht nur das Fachpersonal.[353]

224

Diese erste Tatbestandsvariante ist dabei im Zusammenhang mit Art. 90zu lesen und unterstreicht die Kompetenz der Mitgliedstaaten nationale Regelungen zu erlassen. Insofern ist in Deutschland vor allem § 203 StGBrelevant. § 203 Abs. 1 StGB benennt die Berufsgeheimnisträger, wie etwa Ärzte, Psychologen, Notare oder Rechtsanwälte (vgl. dazu §§ 43a Abs. 2 BROA, § 18 BNotO). Darüber hinaus erweitert § 203 Abs. 3 S. 2 StGB den Anwendungsbereich des Berufsgeheimnisses auf alle berufsmäßig tätigen Gehilfen.[354] Darunter fallen etwa Arzthelfer/-innen, aber gegebenenfalls auch Mitarbeiter des administrativen Bereichs einer Arztpraxis. Eine Ergänzung zum Berufsgeheimnis findet sich im Zeugnisverweigerungsrecht aus § 53 StPO.[355] Auch das Sozialgeheimnisaus § 35 Abs. 1 SGB I stellt ein Berufsgeheimnis i.S.d. Art. 9 Abs. 3dar, so dass auch Sozialleistungsträger erfasst sind. Dabei erstreckt sich das Sozialgeheimnis auch auf das Hilfspersonalund Auftragsverarbeiter, vgl. § 80 SGB X.[356]

225

Daneben erfasst Art. 9 Abs. 3auch die Verarbeitung durch eine andere Person, die einer Geheimhaltungspflichtunterliegt. Um aber das Geheimhaltungserfordernis nicht lückenhaft auszufüllen ist hierbei davon auszugehen, dass die Geheimhaltungspflicht ein ähnliches Schutzniveau aufweisen muss, wie das der Berufsgeheimnisträger. Insofern stellt die Geheimhaltungspflicht gegenüber den Berufsgeheimnisträgern kein qualitatives Weniger dar.[357] Dies ist z.B. bei Rechtsanwälten und den Schweigepflichten nach § 203 Abs. 1 StGB gegeben. Insofern ergeben sich die Geheimhaltungspflichten unmittelbar aus dem Gesetz.[358] Letztlich gewährt die Regelung der Geheimhaltungspflicht einen abschließenden Schutz von Gesundheitsdaten, indem sichergestellt wird, dass nicht nur Berufsgeheimnisträger, sondern im Rahmen eines oftmals arbeitsteiligen Vorgehens auch durch andere Personen ermöglicht werden, die einer entsprechenden Geheimhaltungsverpflichtung unterliegen.[359]

226

Art. 9 Abs. 4sieht zusätzliche Bedingungen im Falle der Verarbeitung von biometrischen, genetischen und von Gesundheitsdaten vor.

227

So können die Mitgliedstaaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten. Insofern stellt Art. 9 Abs. 4eine weitere Öffnungsklauseldar, die den Mitgliedstaaten eine Gesetzgebungskompetenzzugesteht.[360]

228

Inhaltlich legt Art. 9 Abs. 4die Kompetenz der Mitgliedstaaten fest, weitere Beschränkungen oder Bedingungensowohl beizubehalten als auch gegebenenfalls neu einzuführen und zu erlassen. Zu beachten ist hierbei, dass die Regelung keineswegs die Ermächtigung der Mitgliedstaaten enthält weitere Ausnahmetatbestände i.S.d. Art. 9 Abs. 2für die Verarbeitung von biometrischen, genetischen oder Gesundheitsdaten festzulegen. Vielmehr zielt die Regelung des Art. 9 Abs. 4darauf ab, dass die bereits in Art. 9enthaltenen Voraussetzungen zur Verarbeitung der o.g. sensiblen Daten zusätzlich verschärft und ausgestaltet werden können. Die DS-GVO legt also insoweit nur einen Mindeststandardfest.[361] Art. 9 Abs. 4zielt also darauf ab, das Schutzniveau im Falle der Verarbeitung der genannten sensiblen Daten gegebenenfalls noch weiter zu erhöhen.[362]

229

In praktischer Hinsicht ist somit bedeutsam, dass die nationalen Regelungen eine Anwendung der DS-GVO sperren können. Dies gilt insbesondere dann, wenn diese strengere Maßstäbe als die DS-GVO enthalten. So können etwa die Erlaubnistatbestände des Art. 9 Abs. 2 lit. a, sowie c–finfolge dessen verdrängt werden.[363]