Gesundheitsdaten

Gesundheitsdaten sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und Informationen über deren Gesundheitszustand erkennen lassen. Nach Art. 4 Nr. 15 der Datenschutz-Grundverordnung (DS-GVO) gehören dazu auch Angaben über die Erbringung von Gesundheitsdienstleistungen, soweit daraus Informationen über den Gesundheitszustand hervorgehen. Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO und unterliegen deshalb erhöhten Anforderungen an ihre Verarbeitung.

Was sind Gesundheitsdaten im Sinne der DS-GVO?

Art. 4 Nr. 15 DS-GVO erfasst personenbezogene Informationen, aus denen sich Angaben über den körperlichen oder geistigen Gesundheitszustand einer Person ergeben.

Dazu gehören nicht nur ärztliche Diagnosen und medizinische Untersuchungsergebnisse, sondern auch Informationen über Erkrankungen, Behinderungen, Behandlungen oder gesundheitliche Einschränkungen.

Nach Erwägungsgrund 35 DS-GVO umfasst der Begriff Informationen über den vergangenen, gegenwärtigen und zukünftigen Gesundheitszustand.

Gesundheitsdaten müssen nicht unmittelbar aus einer medizinischen Untersuchung stammen. Auch die Verknüpfung verschiedener Informationen kann Rückschlüsse auf den Gesundheitszustand ermöglichen. Entscheidend sind der Inhalt der Daten und der jeweilige Verarbeitungskontext.

Welche Informationen zählen zu Gesundheitsdaten?

Zu den Gesundheitsdaten gehören insbesondere:

• Medizinische Diagnosen: Angaben über Erkrankungen, Verletzungen oder gesundheitliche Beeinträchtigungen.
• Untersuchungs- und Laborergebnisse: Beispielsweise Blutwerte, Röntgenbefunde oder Ergebnisse medizinischer Tests.
• Behandlungsinformationen: Angaben über ärztliche Behandlungen, Operationen, Therapien und verordnete Medikamente.
• Angaben zu Behinderungen: Informationen über körperliche oder geistige Einschränkungen sowie einen anerkannten Grad der Behinderung.
• Psychische Gesundheit: Informationen über psychische Erkrankungen und psychotherapeutische Behandlungen.
• Gesundheitsbezogene Messwerte: Beispielsweise Herzfrequenz oder Blutzuckerwerte, soweit daraus Informationen über den Gesundheitszustand hervorgehen.
• Informationen über Arbeitsunfähigkeit: Angaben über krankheitsbedingte Fehlzeiten oder ärztliche Arbeitsunfähigkeitsbescheinigungen.

Auch Informationen, die zunächst nicht medizinisch erscheinen, können Gesundheitsdaten darstellen, wenn sie im konkreten Zusammenhang Rückschlüsse auf den Gesundheitszustand einer Person zulassen.

Nicht jede Angabe über körperliche Aktivitäten oder Lebensgewohnheiten ist dagegen automatisch ein Gesundheitsdatum. Maßgeblich ist, welche gesundheitsbezogenen Informationen sich daraus ergeben.

Unter welchen Voraussetzungen dürfen Gesundheitsdaten verarbeitet werden?

Für Gesundheitsdaten gilt nach Art. 9 Abs. 1 DS-GVO grundsätzlich ein Verarbeitungsverbot. Eine Verarbeitung ist nur zulässig, wenn eine Ausnahme nach Art. 9 Abs. 2 DS-GVO greift und zusätzlich eine geeignete Rechtsgrundlage nach Art. 6 DS-GVO vorliegt.

Zu den wesentlichen Ausnahmen gehören:

• Ausdrückliche Einwilligung: Die betroffene Person hat nach Art. 9 Abs. 2 lit. a DS-GVO ausdrücklich in die Verarbeitung ihrer Gesundheitsdaten für einen oder mehrere festgelegte Zwecke eingewilligt.
• Arbeitsrecht und Sozialschutz: Die Verarbeitung ist nach Art. 9 Abs. 2 lit. b DS-GVO im Rahmen der dort genannten gesetzlichen Voraussetzungen zur Erfüllung von Pflichten oder zur Ausübung bestimmter Rechte erforderlich.
• Schutz lebenswichtiger Interessen: Die Verarbeitung ist nach Art. 9 Abs. 2 lit. c DS-GVO zum Schutz lebenswichtiger Interessen erforderlich, wenn die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.
• Gesundheitsversorgung: Die Verarbeitung ist nach Art. 9 Abs. 2 lit. h DS-GVO unter den gesetzlichen Voraussetzungen beispielsweise für medizinische Diagnosen, die Versorgung oder Behandlung im Gesundheitsbereich erforderlich.
• Öffentliche Gesundheit: Die Verarbeitung kann nach Art. 9 Abs. 2 lit. i DS-GVO aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit unter den gesetzlichen Voraussetzungen zulässig sein.

Weitere Ausnahmen bestehen beispielsweise für bestimmte wissenschaftliche Forschungszwecke.

Bei einer Verarbeitung zu Zwecken der Gesundheitsversorgung nach Art. 9 Abs. 2 lit. h DS-GVO sind zusätzlich die Anforderungen des Art. 9 Abs. 3 DS-GVO zu beachten. Danach muss die Verarbeitung durch Fachpersonal erfolgen, das einer beruflichen Geheimhaltungspflicht unterliegt, oder unter dessen Verantwortung beziehungsweise durch andere Personen, die einer entsprechenden Geheimhaltungspflicht unterliegen.

Eine ausdrückliche Einwilligung ist somit nicht in jedem Fall erforderlich. Entscheidend sind die jeweils einschlägigen gesetzlichen Voraussetzungen und der konkrete Verarbeitungszweck.

Zusätzlich müssen die allgemeinen Datenschutzgrundsätze nach Art. 5 DS-GVO eingehalten werden. Dazu gehören insbesondere Zweckbindung, Datenminimierung sowie Integrität und Vertraulichkeit.

Welche besonderen Schutzmaßnahmen gelten für Gesundheitsdaten?

Aufgrund ihrer Sensibilität müssen Gesundheitsdaten durch geeignete technische und organisatorische Maßnahmen geschützt werden. Die Anforderungen richten sich insbesondere nach Art. 32 DS-GVO und den Risiken der jeweiligen Verarbeitung.

Zu den wesentlichen Schutzmaßnahmen gehören:

• Zugriffsbeschränkungen: Gesundheitsdaten dürfen nur Personen zugänglich sein, die sie für ihre berechtigten Aufgaben benötigen.
• Verschlüsselung: Geeignete Verschlüsselungsverfahren können Gesundheitsdaten bei der Speicherung und Übertragung vor unbefugtem Zugriff schützen.
• Berechtigungskonzepte: Verantwortliche müssen festlegen, welche Personen auf bestimmte Gesundheitsinformationen zugreifen dürfen.
• Vertraulichkeit: Personen mit Zugang zu Gesundheitsdaten müssen die geltenden Vertraulichkeitsanforderungen beachten. Im medizinischen Bereich bestehen darüber hinaus besondere gesetzliche Geheimhaltungspflichten.
• Lösch- und Aufbewahrungskonzepte: Gesundheitsdaten dürfen grundsätzlich nicht länger gespeichert werden, als es für die jeweiligen Zwecke erforderlich ist, sofern keine gesetzlichen Aufbewahrungspflichten oder anderen zulässigen Gründe für eine weitere Speicherung bestehen.

Nach Art. 25 DS-GVO müssen Verantwortliche außerdem Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen berücksichtigen.

Ist eine Verarbeitung voraussichtlich mit einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen verbunden, muss nach Art. 35 DS-GVO vorab eine Datenschutz-Folgenabschätzung durchgeführt werden. Dies kann insbesondere bei umfangreichen Verarbeitungen sensibler Gesundheitsdaten relevant sein.

Was müssen Arbeitgeber beim Umgang mit Gesundheitsdaten beachten?

Auch im Beschäftigungsverhältnis werden Gesundheitsdaten verarbeitet. Dies betrifft beispielsweise Informationen über Arbeitsunfähigkeit, gesundheitliche Einschränkungen oder arbeitsmedizinische Untersuchungen.

Arbeitgeber dürfen solche Informationen nur erheben und verwenden, soweit hierfür eine geeignete Rechtsgrundlage nach Art. 6 DS-GVO und eine einschlägige Ausnahme nach Art. 9 Abs. 2 DS-GVO bestehen. Zusätzlich sind die anwendbaren arbeitsrechtlichen Vorschriften zu beachten.

Bei einer gewöhnlichen Krankmeldung benötigen Arbeitgeber regelmäßig Informationen über die Arbeitsunfähigkeit und deren voraussichtliche Dauer, nicht jedoch über die konkrete ärztliche Diagnose.

Besondere Anforderungen gelten bei arbeitsmedizinischen Untersuchungen. Medizinische Befunde unterliegen grundsätzlich der ärztlichen Schweigepflicht. Arbeitgeber erhalten deshalb nicht ohne Weiteres Einblick in Untersuchungsergebnisse oder Diagnosen.

Eine pauschale Einwilligung von Beschäftigten rechtfertigt nicht jede Verarbeitung ihrer Gesundheitsdaten. Aufgrund des Abhängigkeitsverhältnisses im Beschäftigungsverhältnis ist insbesondere sorgfältig zu prüfen, ob eine Einwilligung freiwillig erteilt wurde.

Praxisbeispiel: Verarbeitung von Gesundheitsdaten durch eine Gesundheits-App

Ein Unternehmen bietet eine Gesundheits-App an, mit der Nutzer ihre Herzfrequenz, Blutdruckwerte und Angaben zu bestehenden Erkrankungen dokumentieren können.

Da diese Informationen Rückschlüsse auf den Gesundheitszustand der Nutzer ermöglichen, handelt es sich um Gesundheitsdaten im Sinne des Art. 4 Nr. 15 DS-GVO.

Das Unternehmen möchte die Angaben speichern und auswerten, um den Nutzern individuelle Gesundheitsübersichten bereitzustellen.

Für die Verarbeitung benötigt es eine geeignete Rechtsgrundlage nach Art. 6 DS-GVO sowie eine Ausnahme nach Art. 9 Abs. 2 DS-GVO. Hierfür kann beispielsweise eine ausdrückliche Einwilligung der Nutzer in Betracht kommen, sofern sämtliche gesetzlichen Voraussetzungen erfüllt sind.

Das Unternehmen informiert die Nutzer transparent über die Verarbeitungszwecke, die Rechtsgrundlagen, die Speicherdauer und die weiteren erforderlichen Angaben. Außerdem schützt es die Gesundheitsdaten durch geeignete technische und organisatorische Maßnahmen, beispielsweise durch Verschlüsselung und beschränkte Zugriffsrechte.

legal data Einschätzung: Gesundheitsdaten fallen nicht nur im medizinischen Bereich an, sondern können auch im Arbeitsverhältnis und bei digitalen Dienstleistungen verarbeitet werden. Verantwortliche sollten deshalb frühzeitig prüfen, ob die erhobenen Informationen Rückschlüsse auf den Gesundheitszustand einer Person zulassen. Ist dies der Fall, gelten die besonderen Anforderungen des Art. 9 DS-GVO. Entscheidend sind eine geeignete Rechtsgrundlage, die Beschränkung auf erforderliche Daten und ein dem Risiko angemessenes Schutzniveau.

Rechtsgrundlagen

Art. 4 Nr. 15 DS-GVO; Art. 5 und 6 DS-GVO; Art. 9 DS-GVO; Art. 25 und 32 DS-GVO; Art. 35 DS-GVO; Erwägungsgrund 35 DS-GVO; § 22 BDSG; § 26 BDSG, soweit unionsrechtskonform anwendbar.