Anna-Lena Hoffmann - Die datenschutzrechtliche Einwilligung im Gesundheitsbereich unter der DSGVO

Nachdem es aufgrund von Art. 9 Abs. 4 DSGVO zulässig ist, die hinsichtlich genetischer, biometrischer Daten oder Gesundheitsdaten zusätzliche Bedingungen und Beschränkungen einzuführen, haben Mitgliedstaaten faktisch einen erheblichen Freiraum für eigene Regelungen im Bereich der Gesundheit.161 Dies deutet auch darauf hin, dass eine Vollharmonisierung im Bereich der besonderen Kategorien personenbezogener Daten gescheitert ist.162

Eine Verarbeitung von Gesundheitsdaten kann gem. Art. 9 Abs. 2 lit. i DSGVO in Verbindung mit mitgliedstaatlichem Recht insbesondere dann legitim sein, wenn die Verarbeitung aus Gründen des öffentlichen Interesses zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung, bei Arzneimitteln und Medizinprodukten erforderlich ist. Insoweit zielt die Norm auf Gefahren- und Sicherheitsaspekte ab.163

Die DSGVO überlässt die Ausfüllung dieser Norm den Mitgliedstaaten, gibt aber vor, dass angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen betroffener Personen vorgesehen werden müssen, insbesondere Berufsgeheimnisse.164

In Art. 9 Abs. 2 lit. j DSGVO besteht eine Parallele zum Grundsatz in Art. 5. Abs. 1 lit. b DSGVO.165 Nach Art. 9 Abs. 2 lit. j DSGVO dürfen sensible personenbezogene Daten auf Grundlage mitgliedstaatlichen Rechts verarbeitet werden, wenn die Verarbeitung gem. Art. 89 Abs. 1 DSGVO erforderlich ist für wissenschaftliche oder historische Forschungszwecke, im öffentlichen Interesse liegende Archivzwecke oder für statistische Zwecke. Dabei fällt auf, dass zwar Art. 9 Abs. 2 lit. j DSGVO auf das mitgliedstaatliche Recht verweist, nicht aber Art. 89 Abs. 1 DSGVO. Die komplexe Formulierung kann so verstanden werden, dass zusätzlich zu den in Art. 89 Abs. 1 DSGVO genannten „Garantien für die Rechte und Freiheiten der betroffenen Person“ bei sensiblen Daten nach Art. 9 Abs. 2 lit. j DSGVO die Mitgliedstaaten den Rahmen für die Verarbeitung festlegen dürfen.166

Den Mitgliedstaaten wird es ermöglicht, unter Art. 9 Abs. 4 DSGVO zusätzliche Bedingungen, einschließlich Beschränkungen, einzuführen oder aufrechtzuerhalten, „soweit die Verarbeitung genetischer, biometrischer oder Gesundheitsdaten betroffen ist“.167 Auf eine besondere „Betroffenheit“ der Verarbeitung kommt es aber wohl nicht an, da der englische Text schlicht den Begriff „processing“ verwendet, anstatt beispielsweise „concerned with processing“.168

Bezüglich biometrischer, genetischer Daten und Gesundheitsdaten bedeutet Art. 9 Abs. 4 DSGVO, dass die Erlaubnistatbestände des Art. 9 Abs. 2 DSGVO mitgliedstaatlich auch in Bereichen modifiziert werden können, in denen der jeweilige Tatbestand nicht ohnehin schon eine Öffnungsklausel vorsieht.169 Es stellt sich die Frage, ob unter diesem Tatbestand auch mitgliedstaatliche Erleichterungen beim Einholen einer Einwilligung eingeführt werden können.170 Da die Regelungen in Art. 9 DSGVO aber ohnehin zusätzliche Hürden für eine Datenverarbeitung nach Art. 6 DSGVO bedeuten, kann über Art. 9 DSGVO überzeugenderweise keine Absenkung des Schutzniveaus erfolgen.171

Die Vorschrift führt ferner dazu, dass es bezüglich dieser Daten nicht ausreichend ist, allein die Vorgaben der DSGVO im Blick zu behalten, da die Mitgliedstaaten in ihren nationalen Gesetzen spezielle Vorgaben beibehalten und einführen dürfen.172 Nichtsdestotrotz wird in Erwägungsgrund 53 Sätze 4 und 5 DSGVO vorgegeben, dass die weiteren Bedingungen einschließlich Beschränkungen nicht den freien Verkehr personenbezogener Daten innerhalb der Union beeinträchtigen sollten, falls die Bedingungen für grenzüberschreitende Verarbeitung der Daten gelten. Aus dem Erwägungsgrund ergibt sich daher, dass die Mitgliedstaaten dazu angehalten sind, gesundheitsdatenschutzrechtliche Alleingänge mit dem freien Datenverkehr in der Union in Einklang zu bringen.173 Die Öffnungsklausel wird in Teil C. dieser Arbeit näher untersucht.

Im Kapitel über die Vorschriften für besondere Verarbeitungssituationen wird in Art. 89 DSGVO festgelegt, dass einerseits bei der Verarbeitung personenbezogener Daten für Archivzwecke, wissenschaftliche Forschungszwecke oder historische Forschungszwecke geeignete Garantien für die Rechte und Freiheiten der betroffenen Person, also gewisse Mindestanforderungen, bestehen müssen.174 Ferner wird in Art. 89 Abs. 2 DSGVO festgelegt, dass im Unionsrecht oder im mitgliedstaatliche Recht bei der Verarbeitung zu den vorgenannten Zwecken Ausnahmen von den Betroffenenrechten gem. Art. 15, 16, 18 und 21 DSGVO (bzw. bei Archivzwecken auch von Art. 20 DSGVO) vorgesehen werden dürfen.175 Die Öffnungsklauseln müssen, so Art. 89 Abs. 2 und Abs. 3 DSGVO, solche Fälle regeln, bei denen voraussichtlich die Geltendmachung der Rechte einer Verwirklichung der spezifischen Zwecke entgegenstehen würde und daher die Ausnahme zur Erfüllung der Zwecke notwendig ist.176

Eine Ausnahme für das Recht auf Löschung (Art. 17 DSGVO) oder von den Bedingungen der Einwilligung (insbesondere Art. 7 DSGVO) ist an dieser Stelle nicht ausdrücklich vorgesehen.177 Daraus – auch unter Berücksichtigung der Gesetzessystematik – lässt sich schließen, dass Mitgliedstaaten über Art. 89 DSGVO beispielsweise keine Ausnahme vom Widerrufsrecht bei der Einwilligung machen dürfen.178 Gleichwohl wird sich zeigen, dass im Rahmen der wissenschaftlichen Forschung insb. aufgrund von Ausnahmen in Art. 17 Abs. 3 DSGVO Ausnahmen von der Löschpflicht bestehen können.179

Wie schon unter der DSRL wurden auch in der DSGVO Begriffe definiert. Die Anzahl an Definitionen wurde aber mehr als verdreifacht.180

Der Begriff des personenbezogenen Datums eröffnet gem. Art. 2 Abs. 1 DSGVO den sachlichen Anwendungsbereich der DSGVO und ist somit ein essentielles Kriterium.181 Personenbezogene Daten sind gem. Art. 4 Nr. 1 DSGVO „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen“. Diese Definition der personenbezogenen Daten enthält somit zusätzlich die Definition über die so genannte betroffene Person.182

Wann eine Person identifiziert oder identifizierbar ist und vor allem, für wen diese Identifizierbarkeit vorliegen muss, wird in der Definition – wie schon unter der DSRL183 – offengelassen.184 Um den Schutz der natürlichen Person zu gewährleisten, kann eine Identifikation nicht nur dann vorliegen, wenn Vor- und Nachname einer Person oder sonstige Merkmale der bürgerlichen Identität ermittelt werden können.185 Es muss ausreichend sein, dass eine Person „singularisiert“ und ohne Verwechselung wiedererkannt werden kann.186

In der Literatur wird ferner darüber diskutiert, aus wessen Perspektive die Identifizierung vorgenommen können werden muss.187 Es stellt sich die Frage, ob von einem absoluten Verständnis des Personenbezugs auszugehen ist,188 wonach auf die Möglichkeit aller Menschen zur Identifizierung abzustellen wäre (eine Anonymisierung wäre damit faktisch kaum möglich),189 oder ob auf ein relatives Verständnis des Personenzugs abzustellen ist, wonach auf Wissen und Möglichkeiten des Verantwortlichen abzustellen wäre, bzw. auf Dritte, die wahrscheinlich eine Identifizierung vornehmen könnten.190