Was sind biometrische, genetische und Gesundheitsdaten?
Genetische Daten: ererbte/erworbene Eigenschaften mit eindeutigen Informationen zu Physiologie/Gesundheit; Gesundheitsdaten: Gesundheitszustand. Biometrische Daten: speziell technisch gewonnene personenbezogene Daten zu Körper-, Physiologie- oder Verhaltensmerkmalen, die eindeutige Identifizierung erlauben/bestätigen.
Gesetzliche Definition: Genetische Daten sind personenbezogene Daten zu ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person. Sie liefern eindeutige Informationen über deren Physiologie oder Gesundheit und stammen insbesondere aus der Analyse einer biologischen Probe. Gesundheitsdaten beziehen sich auf die körperliche oder geistige Gesundheit einer natürlichen Person einschließlich erbrachter Gesundheitsdienstleistungen und lassen Informationen über deren Gesundheitszustand hervorgehen. Bei biometrischen Daten müssen körperliche, physiologische oder verhaltenstypische Merkmale speziell technisch verarbeitet werden. Artikel 9 DSGVO behandelt biometrische Daten nur dann als besondere Kategorie, wenn sie zur eindeutigen Identifizierung verarbeitet werden.
Der Normwortlaut
„Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.“
„Absatz 1 gilt in folgenden Fällen nicht:
a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,
b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,
c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,
d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,
e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,
f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,
g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,
h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,
i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder
j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.“
Rechtliche Einordnung: Das Verbot gilt grundsätzlich. Der Verantwortliche darf die Verarbeitung nur vornehmen, wenn ein Tatbestand aus Artikel 9 Absatz 2 Buchstaben a bis j vollständig erfüllt ist und zusätzlich eine Rechtsgrundlage nach Artikel 6 Absatz 1 besteht. Die Ausnahmen sind keine pauschalen oder austauschbaren Freigaben. Mitgliedstaaten dürfen nach Artikel 9 Absatz 4 zusätzliche Bedingungen oder Beschränkungen für genetische, biometrische und Gesundheitsdaten beibehalten oder einführen.
Wann ist die DSGVO auf diese Daten anwendbar?
Erfasst sind personenbezogene Daten im sachlichen und räumlichen Anwendungsbereich der DSGVO: ganz oder teilweise automatisierte Verarbeitung sowie nichtautomatisierte Verarbeitung in einem Dateisystem oder mit Bestimmung für ein solches. Die Information muss sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die Bereichsausnahmen des Artikels 2 Absatz 2 bleiben bestehen: Tätigkeiten außerhalb des Anwendungsbereichs des Unionsrechts; Tätigkeiten der Mitgliedstaaten im Rahmen von Titel V Kapitel 2 EUV; Verarbeitung durch eine natürliche Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten; sowie Verarbeitung durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. Artikel 2 Absatz 3 regelt die Verarbeitung durch Organe, Einrichtungen, Ämter und Agenturen der Union gesondert und verweist dafür auf ein eigenes Datenschutzregime. Der räumliche Anwendungsbereich richtet sich nach Artikel 3.
Was muss vor der Verarbeitung geprüft werden?
Der Verantwortliche muss vor Beginn bestimmen, ob eine Legaldefinition aus Artikel 4 Nummern 13 bis 15 erfüllt ist und bei biometrischen Daten der Identifizierungszweck vorliegt. Anschließend sind eine Rechtsgrundlage nach Artikel 6 Absatz 1 und eine vollständig einschlägige Ausnahme nach Artikel 9 Absatz 2 zu prüfen. Ausdrückliche Einwilligung ist nur eine mögliche Ausnahme; sie muss festgelegte Zwecke betreffen und scheidet nach Buchstabe a aus, soweit Unions- oder Mitgliedstaatenrecht die Aufhebung des Verbots durch die betroffene Person ausschließt.
Welche Ausnahmen können das Verbot aufheben?
Artikel 9 Absatz 2 nennt abschließend: ausdrückliche Einwilligung für festgelegte Zwecke mit dem gesetzlichen Ausschlussvorbehalt (a); erforderliche Verarbeitung zur Ausübung arbeits-, sozialschutz- oder sozialversicherungsrechtlicher Rechte und Pflichten auf unionsrechtlicher, mitgliedstaatlicher oder kollektivvertraglicher Grundlage mit geeigneten Garantien (b); lebenswichtige Interessen der betroffenen oder einer anderen natürlichen Person bei körperlicher oder rechtlicher Einwilligungsunfähigkeit (c); rechtmäßige Tätigkeiten einer politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichteten Organisation ohne Gewinnerzielungsabsicht, mit geeigneten Garantien, begrenztem Personenkreis und ohne externe Offenlegung ohne Einwilligung (d); personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat (e); erforderliche Verarbeitung für Rechtsansprüche oder die justizielle Tätigkeit der Gerichte (f); erhebliches öffentliches Interesse auf unions- oder mitgliedstaatlicher Grundlage, die verhältnismäßig ist, den Wesensgehalt des Datenschutzrechts wahrt und angemessene spezifische Schutzmaßnahmen vorsieht (g); die abschließend genannten Zwecke von Gesundheitsvorsorge, Arbeitsmedizin, Arbeitsfähigkeitsbeurteilung, Diagnostik, Versorgung, Behandlung oder Verwaltung im Gesundheits- oder Sozialbereich auf unions- oder mitgliedstaatlicher Grundlage oder Vertrag mit einem Angehörigen eines Gesundheitsberufs sowie unter den Bedingungen des Absatzes 3 (h); öffentliches Interesse im Bereich der öffentlichen Gesundheit auf unions- oder mitgliedstaatlicher Grundlage mit angemessenen spezifischen Schutzmaßnahmen, insbesondere Berufsgeheimnis (i); sowie im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke gemäß Artikel 89 Absatz 1 auf unions- oder mitgliedstaatlicher Grundlage, die verhältnismäßig ist, den Wesensgehalt wahrt und angemessene spezifische Schutzmaßnahmen vorsieht (j).
Für Buchstabe h verlangt Absatz 3 zusätzlich die Verarbeitung durch oder unter Verantwortung von Fachpersonal mit Berufsgeheimnis oder durch eine andere Person mit entsprechender Geheimhaltungspflicht. Nationale Zusatzbedingungen nach Absatz 4 bleiben möglich.
Wann ist eine Datenschutz-Folgenabschätzung erforderlich?
Es gibt für diese Datenkategorien keine eigenständige allgemeine Frist und keine numerische Mengenschwelle. Eine Datenschutz-Folgenabschätzung muss jedoch vor der Verarbeitung erfolgen, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bewirkt. Artikel 35 Absatz 3 Buchstabe b nennt insbesondere die umfangreiche Verarbeitung besonderer Kategorien; „umfangreich“ ist nicht numerisch definiert.
Artikel 35 Absatz 10 greift nur, wenn die Verarbeitung auf einer Rechtsgrundlage nach Artikel 6 Absatz 1 Buchstabe c oder e im Unionsrecht oder im Recht des Mitgliedstaats, dem der Verantwortliche unterliegt, beruht, diese Grundlage den konkreten Verarbeitungsvorgang oder die konkreten Verarbeitungsvorgänge regelt und bereits beim Erlass im Rahmen einer allgemeinen Folgenabschätzung eine Datenschutz-Folgenabschätzung durchgeführt wurde. Die Absätze 1 bis 7 gelten dann nur, wenn der betreffende Mitgliedstaat es für erforderlich hält, vor den Verarbeitungstätigkeiten dennoch eine solche Folgenabschätzung durchzuführen. Bei Änderungen des mit der Verarbeitung verbundenen Risikos ist die Folgenabschätzung nach Artikel 35 Absatz 11 erforderlichenfalls zu überprüfen.
Ist jedes Foto oder Video ein biometrisches Datum?
Nein. Technische Einordnung der Aufsichtspraxis: Nach den EDSA-Leitlinien 3/2019 müssen einschlägige körperliche, physiologische oder verhaltenstypische Merkmale, eine spezielle technische Verarbeitung und für Artikel 9 der Zweck der eindeutigen Identifizierung zusammenkommen. Eine bloße Foto- oder Videoaufnahme genügt nicht. Dieselbe Aufnahme kann unabhängig davon andere besondere Kategorien offenbaren.
Häufige Fehlannahmen
- „Jedes Gesichtsbild ist biometrisch.“ Nein. Eine Aufnahme allein ist kein biometrisches Datum. Artikel 4 Nummer 14 verlangt eine spezielle technische Verarbeitung körperlicher, physiologischer oder verhaltenstypischer Merkmale, deren Ergebnis die eindeutige Identifizierung ermöglicht oder bestätigt. Artikel 9 Absatz 1 greift, wenn biometrische Daten zur eindeutigen Identifizierung verarbeitet werden.
- „Artikel 9 genügt als Rechtsgrundlage.“ Nein; zusätzlich ist die Rechtmäßigkeit nach Artikel 6 Absatz 1 zu prüfen.
- „Ausdrückliche Einwilligung ist immer erforderlich.“ Nein; sie ist nur einer der Tatbestände aus Artikel 9 Absatz 2 und kann gesetzlich ausgeschlossen sein.
- „Jede Verarbeitung löst eine DSFA aus.“ Nein; maßgeblich sind die Voraussetzungen des Artikels 35, insbesondere das voraussichtlich hohe Risiko.
- „Für umfangreich gibt es eine feste Personenzahl.“ Nein; die DSGVO definiert hierfür keinen allgemeinen Zahlenwert.
Was die Geschäftsleitung tun sollte
Praxisempfehlung:
- Die drei Datenarten anhand der jeweiligen Legaldefinition getrennt klassifizieren und den Identifizierungszweck biometrischer Verfahren dokumentieren.
- Vor Freigabe sowohl Artikel 6 Absatz 1 als auch den konkreten Tatbestand aus Artikel 9 Absatz 2 einschließlich aller Garantien prüfen lassen.
- Zweck, Erforderlichkeit und weniger eingriffsintensive Alternativen festhalten, besonders bei biometrischer Identifizierung.
- Frühzeitig ein DSFA-Screening veranlassen und eine erforderliche Folgenabschätzung vor der Verarbeitung abschließen.
- Änderungen des Risikos überwachen und die Folgenabschätzung erforderlichenfalls überprüfen lassen.
Für die Geschäftsleitung
Die Reichweite hängt von Legaldefinition, Personenbezug, Anwendungsbereich und bei Biometrie vom Identifizierungszweck ab. Die Freigabeentscheidung benötigt eine Grundlage nach Artikel 6 Absatz 1 und einen vollständig erfüllten Ausnahmetatbestand nach Artikel 9 Absatz 2. Als Nachweis sollten Klassifizierung, Zweck, Erforderlichkeit, Garantien, Alternativen und das Ergebnis des DSFA-Screenings nachvollziehbar dokumentiert sein.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 2 bis 4, Artikel 5 Absatz 2, Artikel 6, Artikel 9 und Artikel 35 sowie Erwägungsgrund 51
- Europäischer Datenschutzausschuss: Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, insbesondere Randnummern 73 bis 76
