Gesundheitsdaten und Datenschutz: Art. 9 DSGVO sicher anwenden
Gesundheitsdaten sind besonders geschützt und weiter gefasst, als viele Organisationen annehmen. Auch indirekte Rückschlüsse auf den körperlichen oder psychischen Zustand können Art. 9 DSGVO auslösen.Der Beitrag erklärt, wie Gesundheitsdaten und Datenschutz zusammenhängen und wie Verantwortliche die besonderen Anforderungen aus Art. 9 DSGVO sicher anwenden.
Kurzantwort
Gesundheitsdaten sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit beziehen und Informationen über den Gesundheitszustand offenbaren. Dazu zählen nicht nur Diagnosen und Befunde, sondern je nach Zusammenhang auch Medikamente, Fehlzeiten, Behinderungen oder aus anderen Angaben ableitbare Gesundheitsinformationen.
Art. 9 Abs. 1 DSGVO untersagt ihre Verarbeitung grundsätzlich. Zulässig wird sie nur, wenn sowohl eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO als auch eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO und gegebenenfalls nationales Fachrecht vorliegen.
Besondere Kategorien verlangen außerdem strenge Zweckbindung, Datenminimierung, eng begrenzte Zugriffe und dem Risiko angemessene technische und organisatorische Maßnahmen.
Begriff
Was sind Gesundheitsdaten nach DSGVO?
Art. 4 Nr. 15 DSGVO definiert Gesundheitsdaten als personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person einschließlich der Erbringung von Gesundheitsdienstleistungen beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.
Erfasst sind vergangene, gegenwärtige und künftige Zustände. Typische Beispiele sind Diagnosen, Laborwerte, Röntgenbilder, Medikationsdaten, ärztliche Berichte, Angaben über Behinderungen, Schwangerschaft, Sucht oder psychische Erkrankungen. Auch Kennnummern und Abrechnungsinformationen können Gesundheitsdaten sein, wenn sie im medizinischen Zusammenhang stehen.
Der Europäische Gerichtshof legt den Begriff weit aus. Es genügt, wenn Informationen durch Verknüpfung oder gedankliche Ableitung Rückschlüsse auf den Gesundheitszustand ermöglichen. So können Bestelldaten für Arzneimittel Gesundheitsdaten darstellen, wenn sie eine Verbindung zwischen einer identifizierbaren Person und einem Produkt mit erkennbarer therapeutischer Verwendung herstellen.
Kontext entscheidet: Eine Schrittzahl ist nicht in jeder Situation ein Gesundheitsdatum. Wird sie aber über längere Zeit erhoben und zur Beurteilung von Krankheit, Fitness oder Gesundheitsrisiken ausgewertet, kann Art. 9 DSGVO einschlägig sein.
Schutzsystem
Warum gilt ein Verbot mit Ausnahmen?
Gesundheitsdaten können Diskriminierung, Stigmatisierung, wirtschaftliche Nachteile oder besonders tiefe Eingriffe in die Privatsphäre verursachen. Art. 9 Abs. 1 DSGVO stellt ihre Verarbeitung deshalb unter ein grundsätzliches Verbot. Erst eine der abschließend geregelten Ausnahmen des Art. 9 Abs. 2 DSGVO öffnet die Verarbeitung.
Diese Ausnahme ersetzt nicht die allgemeine Rechtmäßigkeitsprüfung. Zusätzlich muss eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO bestehen. Außerdem gelten die Grundsätze aus Art. 5 DSGVO, insbesondere Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertraulichkeit.
Je nach Ausnahme verlangt die DSGVO ergänzendes Unions- oder nationales Recht und angemessene Garantien. Eine Organisation darf daher nicht lediglich „Art. 9 DSGVO“ in ihr Verzeichnis von Verarbeitungstätigkeiten schreiben. Sie muss den konkreten Tatbestand, das einschlägige Fachrecht und die notwendige Verarbeitung benennen.
Zulässigkeit
Welche Ausnahmen kommen in Betracht?
Art. 9 Abs. 2 lit. a DSGVO, wenn Freiwilligkeit, Bestimmtheit und Widerruflichkeit tatsächlich gewährleistet sind.
Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit einer tragfähigen nationalen Regelung, etwa § 26 Abs. 3 BDSG.
Art. 9 Abs. 2 lit. c DSGVO, wenn die betroffene Person körperlich oder rechtlich außerstande ist einzuwilligen.
Art. 9 Abs. 2 lit. f DSGVO, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung erforderlich ist.
Art. 9 Abs. 2 lit. g DSGVO auf Grundlage einer verhältnismäßigen gesetzlichen Regelung mit Schutzmaßnahmen.
Art. 9 Abs. 2 lit. h DSGVO für gesetzlich geregelte Vorsorge, Diagnostik, Behandlung und Verwaltung von Gesundheitssystemen.
Art. 9 Abs. 2 lit. i DSGVO bei einer gesetzlichen Grundlage und geeigneten Garantien.
Art. 9 Abs. 2 lit. j DSGVO in Verbindung mit Art. 89 Abs. 1 DSGVO und einer Rechtsgrundlage.
Welche Ausnahme passt, hängt vom konkreten Zweck und Verantwortlichen ab. Eine Arztpraxis, ein Arbeitgeber, ein Sozialamt und ein Forschungsinstitut verarbeiten Gesundheitsdaten unter unterschiedlichen rechtlichen Voraussetzungen. Eine Vorschrift darf nicht aus einem fremden Kontext übernommen werden.
Freiwilligkeit
Wann trägt eine Einwilligung in Gesundheitsdaten?
Die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO muss sich ausdrücklich auf die Verarbeitung der besonderen Daten beziehen. Sie muss informiert, bestimmt, nachweisbar und jederzeit mit Wirkung für die Zukunft widerruflich sein. Pauschale Formulierungen für nicht festgelegte Zwecke genügen nicht.
In Abhängigkeitsverhältnissen ist Freiwilligkeit besonders kritisch. Beschäftigte, Leistungsberechtigte oder Bewerber können sich zu einer Einwilligung gedrängt fühlen, wenn eine Ablehnung Nachteile erwarten lässt. Dann ist eine gesetzliche Grundlage zu prüfen; fehlt sie, darf die Verarbeitung nicht durch eine bloße Unterschrift scheinbar legitimiert werden.
Der Widerruf macht vergangene rechtmäßige Verarbeitungen nicht rückwirkend unzulässig. Für die Zukunft muss die einwilligungsbasierte Verarbeitung aber enden, sofern keine andere von Anfang an tragfähige Grundlage besteht. Deshalb braucht jedes Verfahren einen praktischen Widerrufs- und Löschprozess.
Arbeitsverhältnis
Welche Gesundheitsdaten dürfen Arbeitgeber verarbeiten?
Arbeitgeber dürfen nicht allgemein nach Diagnosen oder der vollständigen Krankengeschichte fragen. Zulässig sind nur Informationen, die für eine konkrete arbeitsrechtliche Pflicht oder Entscheidung erforderlich sind. Bei einer Arbeitsunfähigkeit genügt regelmäßig die Information über deren Bestehen und voraussichtliche Dauer.
Für private Arbeitgeber und viele Beschäftigungsverhältnisse kann § 26 Abs. 3 BDSG in Verbindung mit Art. 9 Abs. 2 lit. b DSGVO einschlägig sein, wenn die Verarbeitung zur Ausübung von Rechten oder Erfüllung rechtlicher Pflichten aus Arbeitsrecht, sozialer Sicherheit oder Sozialschutz erforderlich ist. Daneben sind speziellere arbeits-, sozial- oder beamtenrechtliche Vorschriften zu beachten.
Betriebsarzt oder Amtsarzt sollten der Personalstelle grundsätzlich nur das Ergebnis mitteilen, das diese für ihre Entscheidung benötigt, etwa Eignung, Einschränkungen oder erforderliche Schutzmaßnahmen. Diagnosen und medizinische Einzelbefunde verbleiben im geschützten medizinischen Bereich, soweit keine besondere Rechtsgrundlage ihre Übermittlung verlangt.
Betriebliches Eingliederungsmanagement, Schwerbehindertenangelegenheiten und Arbeitsschutz benötigen getrennte Zwecke, Zuständigkeiten und Zugriffe. Eine für einen Fürsorgeprozess erhobene Information darf nicht ohne neue Prüfung für Leistungsbewertung oder allgemeine Personalplanung genutzt werden.
Öffentliche Stellen
Gesundheitsdaten in der kommunalen Praxis
Kommunen verarbeiten Gesundheitsdaten nicht nur als Arbeitgeber, sondern etwa in Sozialverwaltung, Gesundheitsaufgaben, Kinderbetreuung, Feuerwehr, Rettungswesen oder bei der Organisation barrierefreier Leistungen. Der konkrete Fachbereich benötigt jeweils eine eigene gesetzliche Grundlage und darf nicht auf eine allgemeine kommunale Aufgabennorm ausweichen, wenn spezielles Recht besteht.
In Personalangelegenheiten sind § 50 BeamtStG und Art. 103 ff. BayBG zu berücksichtigen. Beihilfeunterlagen sind nach Art. 105 BayBG getrennt von der übrigen Personalakte zu führen und grundsätzlich organisatorisch getrennt zu bearbeiten. Für vertraglich Beschäftigte gelten die personalaktenrechtlichen Vorschriften nach Art. 145 Abs. 2 BayBG grundsätzlich entsprechend.
Besondere Vorsicht ist bei Gremienunterlagen und öffentlichen Sitzungen nötig. Für eine Entscheidung genügt häufig eine funktionale oder rechtliche Information; Diagnosen und medizinische Details gehören regelmäßig nicht in öffentliche Vorlagen oder Niederschriften.
Empfänger
Wann dürfen Gesundheitsdaten weitergegeben werden?
Jede Weitergabe ist eine eigene Verarbeitung und braucht Zweck, Rechtsgrundlage und Erforderlichkeit. Innerhalb einer Organisation dürfen Gesundheitsdaten nicht allein deshalb frei fließen, weil alle Beteiligten demselben Arbeitgeber oder derselben Behörde angehören. Fachliche Zuständigkeit und Need-to-know bleiben maßgeblich.
Bei externen Dienstleistern ist zu unterscheiden: Verarbeitet ein Anbieter Daten ausschließlich weisungsgebunden, kann eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegen. Ärzte, Gutachter oder andere eigenverantwortliche Berufsgeheimnisträger können dagegen eigene Verantwortliche sein. Die Rollen müssen nach tatsächlicher Entscheidungskompetenz bestimmt werden.
Zusätzlich zu Datenschutzrecht können Schweigepflichten und Berufsgeheimnisse gelten. § 203 StGB kann die Offenbarung bestimmter Geheimnisse strafrechtlich begrenzen. Eine Vereinbarung zur Auftragsverarbeitung hebt solche Pflichten nicht auf.
Bei Drittländern sind neben Art. 6 und Art. 9 DSGVO die Regeln der Art. 44 ff. DSGVO einzuhalten. Eine technische Verschlüsselung reduziert Risiken, ersetzt aber nicht die Prüfung der Übermittlungsgrundlage und möglicher Zugriffe.
Art. 32 DSGVO
Welche Schutzmaßnahmen sind erforderlich?
Gesundheitsdaten verlangen regelmäßig ein erhöhtes Schutzniveau. Maßgeblich sind Risiko, Datenumfang, Zweck, Empfänger, Speicherort und mögliche Folgen eines Vorfalls. Maßnahmen müssen den tatsächlichen Ablauf vom Eingang bis zur Löschung abdecken.
Gesonderte Rollen und möglichst kleine Berechtigungskreise einrichten.
Daten bei Übertragung und Speicherung angemessen verschlüsseln.
Medizinische Details von allgemeinen Verwaltungsdaten trennen.
Zugriffe, Exporte und besonders kritische Änderungen nachvollziehbar protokollieren.
Löschfristen, sichere Vernichtung und Behandlung von Sicherungskopien regeln.
Beschäftigte gezielt auf Vertraulichkeit, Fehlversand und sichere Kommunikation schulen.
Unverschlüsselte E-Mail ist bei sensiblen Befunden oder umfangreichen Gesundheitsakten regelmäßig problematisch. Geeignete sichere Übertragungswege, Empfängerprüfung und klare Regeln für Anhänge sind erforderlich. Papierunterlagen brauchen ebenfalls Schutz vor Einsicht, Fehlablage und unkontrollierter Entsorgung.
Je nach Umfang und Risiko kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein, insbesondere bei umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer Überwachung.
Transparenz
Welche Rechte haben betroffene Personen?
Betroffene müssen nach Art. 13 oder 14 DSGVO verständlich über Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und ihre Rechte informiert werden. Bei Gesundheitsdaten sollten Informationen den konkreten Ablauf erklären und nicht hinter allgemeinen Sammelformeln verbergen.
Das Auskunftsrecht nach Art. 15 DSGVO umfasst auch Gesundheitsdaten. Dabei sind Identität und sichere Übermittlung besonders sorgfältig zu prüfen. Rechte und Freiheiten anderer Personen, Berufsgeheimnisse und spezialgesetzliche Einschränkungen können eine differenzierte Prüfung verlangen, rechtfertigen aber keine pauschale Ablehnung.
Unrichtige Gesundheitsdaten können erhebliche Folgen haben und müssen berichtigt werden. Löschung ist vorzunehmen, wenn kein Zweck und keine Aufbewahrungspflicht mehr besteht. Wo gesetzliche Aufbewahrung fortbesteht, ist die Nutzung regelmäßig auf diesen Zweck einzuschränken.
Datenschutzverletzung
Was ist bei einem Vorfall mit Gesundheitsdaten zu tun?
Fehlversand, unberechtigter Aktenzugriff, verlorene Unterlagen oder ein kompromittiertes Gesundheitsportal sind unverzüglich intern zu sichern und zu bewerten. Die Organisation muss Umfang, betroffene Personen, Datenarten, Empfänger, mögliche Folgen und bereits ergriffene Maßnahmen dokumentieren.
Besteht ein Risiko für Rechte und Freiheiten, ist die Verletzung grundsätzlich binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde zu melden. Bei voraussichtlich hohem Risiko sind betroffene Personen grundsätzlich ebenfalls unverzüglich zu benachrichtigen. Gesundheitsdaten erhöhen wegen ihrer Sensibilität häufig das Schadenspotenzial, ersetzen aber nicht die konkrete Risikobewertung.
Parallel sind Rückruf, Löschbestätigung, Zugangssperre, Passwortwechsel, forensische Sicherung oder andere Eindämmungsmaßnahmen zu veranlassen. Die Ursachenanalyse muss in wirksame Verbesserungen münden.
Praxisfehler
Typische Fehler beim Datenschutz für Gesundheitsdaten
Die zusätzliche Ausnahme nach Art. 9 Abs. 2 DSGVO und einschlägiges Fachrecht fehlen.
Zwecke bleiben offen oder Freiwilligkeit ist im Abhängigkeitsverhältnis nicht gegeben.
Diagnosen werden verarbeitet, obwohl eine funktionale Aussage genügt.
Medizinische Unterlagen liegen im allgemein zugänglichen Personal- oder Fallordner.
Sensible Anhänge werden ohne angemessene Sicherung oder Empfängerprüfung versandt.
Auftragsverarbeitung und eigene Verantwortlichkeit werden nicht sauber unterschieden.
Häufige Fragen
FAQ zu Gesundheitsdaten und Datenschutz
Was zählt als Gesundheitsdatum?
Alle personenbezogenen Informationen, die körperliche oder psychische Gesundheit betreffen und einen Gesundheitszustand offenbaren. Auch indirekt ableitbare Informationen können erfasst sein.
Genügt Art. 6 DSGVO als Rechtsgrundlage?
Nein. Zusätzlich zu einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO und gegebenenfalls ergänzendes Fachrecht vorliegen.
Darf der Arbeitgeber die Diagnose erfahren?
Regelmäßig nicht. Für Arbeitsunfähigkeit und Personalplanung genügt grundsätzlich die Information über Bestehen und Dauer; besondere gesetzliche Konstellationen sind gesondert zu prüfen.
Ist eine ausdrückliche Einwilligung immer ausreichend?
Nein. Sie muss freiwillig, informiert, bestimmt und widerruflich sein. In Abhängigkeitsverhältnissen ist die Freiwilligkeit besonders kritisch.
Sind Medikamentenbestellungen Gesundheitsdaten?
Sie können Gesundheitsdaten sein, wenn die Bestellung eine identifizierbare Person mit einem Arzneimittel verbindet und dadurch Rückschlüsse auf ihren Gesundheitszustand ermöglicht.
Ist bei Gesundheitsdaten immer eine DSFA notwendig?
Nicht automatisch. Eine DSFA ist erforderlich, wenn die konkrete Verarbeitung voraussichtlich ein hohes Risiko verursacht; umfangreiche Verarbeitung besonderer Datenkategorien ist ein gesetzlich genannter Fall.
Ergebnis
Fazit
Gesundheitsdaten sind weit definiert und besonders geschützt. Die Zulässigkeit verlangt eine zweistufige Prüfung aus Art. 6 Abs. 1 DSGVO und Art. 9 Abs. 2 DSGVO sowie häufig ergänzendes Fachrecht. Eine bloße Einwilligungsformel oder der allgemeine Hinweis auf Fürsorge genügt nicht.
In der Praxis entscheiden Datenminimierung, getrennte Ablagen, eng begrenzte Rollen und sichere Kommunikation. Organisationen sollten nur die medizinische Information erhalten, die sie für ihre konkrete Aufgabe wirklich benötigen.
Weiterlesen
Passende interne Verlinkung
Nachweise
Quellen
Gesundheitsdaten rechtssicher verarbeiten?
Die Compliance Werkstatt unterstützt bei Rechtsgrundlagen, Rollen, Datenschutzhinweisen, Schutzmaßnahmen und Datenschutz-Folgenabschätzungen.
Unverbindlich anfragen