David Klein - DS-GVO/BDSG

231

Eine unbefugte Offenlegungist bereits dann gegeben, wenn Dritten ohne entsprechende Rechtsgrundlage nach der DS-GVO eine Kenntnisnahmemöglichkeit eingeräumt wird.[540] Das ist bspw. der Fall, wenn eine öffentliche Zugänglichmachung personenbezogener Daten auf einer Internetseite erfolgt. Ein unbefugter Zugangliegt dann vor, wenn nicht hierzu autorisierte Personen Kenntnis von den personenbezogenen Daten oder auch nur Zugang zu den Geräten, mit denen personenbezogene Daten verarbeitet werden, erlangt haben.[541] Fraglich ist, ob es für eine Verletzung der Sicherheit, insbesondere in den Fällen der unbefugten Offenlegung und des unbefugten Zugangs, erforderlich ist, dass ein unbefugter Zugang oder unbefugte Kenntnisnahme tatsächlich stattgefunden hat oder lediglich möglich ist. So kann der Verlust eines Speichermediums, z.B. ein USB-Stick oder ein Smartphone, dazu führen, dass die Daten von Dritten zur Kenntnis genommen werden. Die Möglichkeit der Kenntnisnahme besteht auch dann, wenn die Daten verschlüsselt sind, dass Handy bspw. mit einem Pin geschützt ist. In diesen Fällen wird man davon ausgehen müssen, dass eine Verletzung der Sicherheit bereits eingetreten ist. Die für das weitere Vorgehen entscheidende Frage, wie hoch das Risiko einer Entschlüsselung tatsächlich ist, wird im Rahmen der zu treffenden Maßnahmen, etwa nach Art. 33 f., zu berücksichtigen sein.[542]

232

Eine Datenschutzverletzung ist nur relevant, wenn sie personenbezogene Datenbetrifft. Ein reiner Zugriff auf technische Daten, die keinen Bezug zu einer natürlichen Person zulassen, stellt keine Verletzung dar. Art. 4 Nr. 12legt auch fest, dass personenbezogenen Daten, die das Schutzobjekt der Norm sind, in irgendeiner Form verarbeitetwurden. Der Begriff der Verarbeitung ist in Art. 4 Nr. 2definiert und sehr weit gefasst. Dementsprechend kommt dem Merkmal „übermittelt, gespeichert oder sonst verarbeitet“ kaum einschränkende Wirkung zu.

233

Genetische Daten sind nach Art. 4 Nr. 13personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen werden.

234

Darüber hinaus wird der Begriff der genetischen Daten in ErwG 34näher erläutert. Danach sollen genetische Daten, die aus der Analyse einer biologischen Probe der betreffenden natürlichen Person, insbesondere durch eine Chromosomen-, Desoxyribonukleinsäure (DSN)- oder Ribonukleinsäure (RNS)-Analyse oder der Analyse eines anderen Elements, durch die gleichwertige Informationen erlangt werden können, gewonnen werden, als personenbezogene Daten über die ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person definiert werden.

235

Die Vorgängerregelung zu Art. 4 Nr. 13auf europäischer Ebene stellt Art. 8 DSRLdar, wobei dieser pauschal auf die Verarbeitung besonderer Kategorien personenbezogener Daten abstellt (nunmehr Art. 9 [543]), ohne dabei die besonderen Datentypen näher zu beleuchten. Demgegenüber nehmen Art. 4 Nr. 13 , 14 [544] und 15 [545] (genetische Daten, biometrische Daten und Gesundheitsdaten) nunmehr eine begriffliche Präzisierung vor.[546] Insofern ist das Zusammenspiel von Art. 4 Nr. 13–15hinsichtlich der Begrifflichkeiten und Art. 9hinsichtlich der Datenverarbeitung für das Verständnis der Reichweite des Schutzes der genetischen Daten im Gefüge der DS-GVO wesentlich.

236

Innerstaatlich definiert § 3 Nr. 11 Gendiagnostikgesetz (GenDG)genetische Daten als „durch eine genetische Untersuchung oder im Rahmen einer genetischen Untersuchung durchgeführte Analyse gewonnener Daten über genetische Eigenschaften“. Er ist enger als Art. 4 Nr. 13, der in erster Linie auf die ererbten Eigenschaften einer natürlichen Person abstellt.[547]

237

Die Begriffsbestimmung aus Art. 4 Nr. 13steht in einem unmittelbaren systematischen Kontext zu den Art. 4 Nr. 14(biometrische Daten) und 15 (Gesundheitsdaten) sowie zu Art. 9, der die Verarbeitung besonderer Kategorien personenbezogener Daten regelt.

238

Daraus lassen sich folgende Aussagen im Wege der Auslegung ermitteln: Art. 4 Nr. 13ordnet Informationen über die Physiologie oder die Gesundheit der Begriffsdefinition der genetischen Daten unter. Daraus folgt, dass genetische Daten auch zugleich biometrische Daten nach Art. 4 Nr. 14oder Gesundheitsdaten nach Art. 4 Nr. 15sein können. Dies kann im Falle von spezifischen Erbmerkmalen und daraus folgenden Krankheitsdispositionen der Fall sein. Von Gesundheitsdaten lassen sie sich dadurch abgrenzen, dass sie Merkmale beinhalten, die einen einzigartigen Datenbestand darstellen.[548]

239

Indem Art. 9 Abs. 1die genetischen Daten in seinen Katalog aufnimmt und einem grundsätzlichen Verarbeitungsverbot unterstellt, folgt daraus, dass genetische Daten als besonders sensitive Dateneinzustufen sind. Dies bedeutet, dass es sich bei genetischen Daten zunächst um personenbezogene Datennach Art. 4 Nr. 1[549] handeln muss. Damit sind Daten, die ursprünglich zu wissenschaftlichen Forschungszwecken erhoben, später aber anonymisiert wurden, nicht erfasst.[550] Ererbte Eigenschaftensind solche, die eine natürliche Person von Geburt an bzw. bereits im pränatalen Stadium in sich trägt, etwa Erbinformationen. Erworbene Eigenschaftensind demgegenüber solche, die die natürliche Person erst im Anschluss an die Geburt erwirbt.[551]

240

Die Systematik der DS-GVO folgt dabei den Vorgaben, die die Art.-29-Datenschutzgruppe bereits in ihrem WP 91[552] aufgestellt hat, wo sie mit Blick auf den wissenschaftlich-technischen Fortschritt die besondere Schutzbedürftigkeitgenetischer Daten betonte.[553]

241

Die besonderen Merkmale und Eigenschaften genetischer Daten lassen sich entsprechend der Vorgaben der Art.-29-Datenschutzgruppe[554] wie folgt zusammenfassen:

242

Indem genetische Daten Informationen zu wissenschaftlichen, medizinischen oder personenbezogenen Informationen vermitteln, wird deren Nutzung zunehmend auch im Rahmen strafrechtlicher Ermittlungen relevant werden, indem biotechnische Anwendungen mit informationstechnischen Systemen verknüpft werden und somit etwa über Biodatenbanken Erkenntnisse über den Gesundheitszustand gewonnen werden können oder die Identifizierbarkeit mittels eines genetischen Fingerabdrucks erfolgt.[555] Darüber hinaus folgt die besondere Sensitivität genetischer Daten daraus, dass diese letztlich von der Befruchtung der Eizelle bis weit über den Tod hinaus erhalten bleiben und dabei sowohl eine eindeutige Identifizierung von Personen ermöglichen als auch Informationen über weitere Personen, etwa Nachkommen, preisgeben, die nicht zur Generierung dieser Daten beigetragen haben.[556] Insofern erlauben genetische Daten Aussagen über Vergangenheit, Gegenwart, etwa zum Gesundheitszustand oder äußerlichen Merkmale und Zukunft. Letzteres betrifft insbesondere im diagnostischen Bereich.[557] Infolge genetischer Analysen wird dem Risiko der Verwertung dieser Daten oftmals auch nicht durch eine Anonymisierung abzuhelfen sein, weil die genetischen Daten zwangsläufig mit der betroffenen Person verbunden sind.[558]