Wann sind Gesundheitsdaten nach Art. 9 DSGVO besonders?

Definition: Was sind Gesundheitsdaten konkret?

Art. 4 Nr. 15 DSGVO definiert Gesundheitsdaten weit: personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Detail

Daraus folgt: nicht nur Diagnose-Daten oder Laborwerte sind Gesundheitsdaten. Auch:

• Termin-Daten mit einem Arzt, die schlichte Tatsache, dass eine Person bei einem Onkologen war, ist eine Gesundheitsinformation.
• Versicherungs-Daten, soweit sie Rückschlüsse auf Gesundheitszustand zulassen, Versicherungs-Beiträge für eine Risikolebensversicherung, Krankenversicherungs-Tarif, Pflegegradeinstufung.
• Genetische Daten nach Art. 4 Nr. 13, ererbte oder erworbene genetische Eigenschaften.
• Biometrische Daten zur Identifikation nach Art. 4 Nr. 14, sofern sie zum Zweck der eindeutigen Identifizierung verarbeitet werden.
• Indirekte Daten: Bewegungsprofile, die Rückschlüsse auf Reha-Aufenthalte zulassen; Suchanfragen zu Krankheitsbildern; Apothekenkauf-Daten.

Der EDSA hat in seinen Leitlinien zu Gesundheitsdaten klargestellt, dass die Definition breit auszulegen ist. Im Zweifel ist eine Information Gesundheitsdatum.

Grundverbot mit Ausnahmen: die zehn Erlaubnis-Tatbestände

Art. 9 Abs. 1 DSGVO formuliert ein Verarbeitungsverbot für Gesundheitsdaten. Art. 9 Abs. 2 listet zehn Erlaubnis-Tatbestände, und nur einer davon muss erfüllt sein, damit die Verarbeitung zulässig wird:

• lit. a, Einwilligung: ausdrücklich erteilt, für einen oder mehrere spezifizierte Zwecke. Bei Gesundheitsdaten muss die Einwilligung besonders aufmerksam dokumentiert werden, Widerruf jederzeit möglich.
• lit. b, Arbeitsrecht und Sozialrecht: Verarbeitung erforderlich für Pflichten und Rechte im Bereich Arbeits-, Sozial- und Sozialschutzrecht. Klassischer Anwendungsfall: Arbeitgeberzahlungen bei Krankheit, Pflegeversicherungs-Abwicklung.
• lit. c, Lebenswichtige Interessen: Verarbeitung erforderlich zum Schutz lebenswichtiger Interessen, wenn die betroffene Person körperlich oder rechtlich nicht in der Lage ist, Einwilligung zu erteilen.
• lit. d, Stiftungen und Vereine: Verarbeitung im Rahmen rechtmäßiger Tätigkeiten politischer, weltanschaulicher oder religiöser Vereinigungen, eng begrenzt.
• lit. e, Öffentlich gemachte Daten: die betroffene Person hat die Daten offensichtlich öffentlich gemacht.
• lit. f, Rechtsansprüche: Verarbeitung erforderlich zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
• lit. g, Öffentliches Interesse: Verarbeitung erforderlich aus Gründen eines erheblichen öffentlichen Interesses, auf Grundlage einer Rechtsvorschrift.
• lit. h, Heilbehandlung: Verarbeitung zur Gesundheitsvorsorge, Diagnostik, Versorgung oder Behandlung, auf Grundlage einer Rechtsvorschrift oder eines Vertrags mit einem Angehörigen eines Gesundheitsberufs.
• lit. i, Öffentliche Gesundheit: Verarbeitung erforderlich aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, etwa Schutz vor schweren grenzüberschreitenden Gesundheitsgefahren.
• lit. j, Forschung und Statistik: Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, auf Grundlage einer Rechtsvorschrift mit angemessenen Garantien.

Deutsche Konkretisierung: §22 BDSG

§22 BDSG ergänzt Art. 9 DSGVO durch spezifische deutsche Regelungen. Wichtigste Tatbestände:

• Beschäftigungskontext (§22 Abs. 1 Nr. 1 lit. b BDSG): Verarbeitung zur Erfüllung von Pflichten aus dem Arbeitsrecht und der sozialen Sicherheit. Beispiele: Erfassung von Arbeitsunfähigkeitsbescheinigungen, Schwerbehinderten-Vermerk, Mutterschutz-Bescheinigung.
• Sozialschutz und Gesundheitsvorsorge (§22 Abs. 1 Nr. 1 lit. c BDSG): erweitert lit. h DSGVO durch nationale Pflichten, etwa Datenverarbeitung durch gesetzliche Krankenversicherungen und Pflegekassen nach SGB V/SGB XI.

§22 Abs. 2 BDSG verlangt zusätzliche angemessene und spezifische Schutzmaßnahmen:

• Maßnahmen zur Pseudonymisierung.
• Verschlüsselung.
• Berechtigungskonzepte.
• Sensibilisierung der mit der Verarbeitung befassten Personen.
• Sperrung von Daten bei Verdacht auf rechtswidrige Verarbeitung.
• Schutzmaßnahmen bei der Übermittlung an Drittländer.

Diese Schutzmaßnahmen sind keine Soll-Empfehlung, sie sind Pflicht, wenn besondere Kategorien nach §22 BDSG verarbeitet werden.

Beispiele aus der Praxis

Arztpraxis:

• Patientenakten (Diagnose, Therapie, Verlauf): lit. h
• Abrechnung mit Krankenkasse: lit. h + SGB V
• Newsletter-Anmeldung mit Patienteninfos: lit. a (Einwilligung)
• Gutachten für eine Versicherung: lit. f (Rechtsansprüche), nach gesonderter Einwilligung des Patienten

Apotheke:

• E-Rezept-Einlösung: lit. h + nationale Spezialgesetze (eHealth-Gesetz, KHZG, SGB V)
• PAYBACK-Programm: NICHT lit. h, separater Tatbestand nötig, in der Regel Einwilligung
• Notdienst-Dokumentation: lit. c (lebenswichtige Interessen) wenn akut, sonst lit. h

Arbeitgeber:

• AU-Bescheinigung erfassen: lit. b (Arbeitsrecht)
• Betriebliches Eingliederungsmanagement (BEM): lit. b + Einwilligung (separate Erklärung)
• Schwerbehinderten-Vermerk: lit. b (SGB IX)
• Werks-Mensa mit Allergie-Info: lit. a (Einwilligung)

Gesundheits-App-Anbieter:

• Fitness-Tracker-Daten: lit. a (Einwilligung), Datenerhebung erfolgt direkt durch den Nutzer
• Verknüpfung mit Arzt-Daten: lit. a + lit. h, beide nötig
• Anonymisierte Auswertung für Forschung: lit. j wenn Forschungs-Tatbestand greift, sonst lit. a

Konsequenzen für die Verarbeitungs-Praxis

Wer Gesundheitsdaten verarbeitet, hat erhöhte Pflichten, über das allgemeine DSGVO-Niveau hinaus:

• DPIA-Pflicht: Die Verarbeitung besonderer Kategorien in großem Umfang ist nach Art. 35 Abs. 3 lit. b DSGVO immer DPIA-pflichtig. Konkretisiert in den BfDI-Listen.
• Datenschutzbeauftragter: Pflicht zur Bestellung eines DSB ab Art. 37 Abs. 1 lit. c DSGVO bei Kerntätigkeiten, die in großem Umfang besondere Kategorien verarbeiten.
• Berechtigungskonzept: streng rollenbasierter Zugriff, mit dokumentierter Notwendigkeit pro Zugriffsrolle.
• Aufbewahrung: zweckgebundene Aufbewahrungsfristen, oft 10 Jahre (Patientenakte) oder länger (Strahlentherapie 30 Jahre, Bluttransfusionen 20 Jahre).
• Drittlandübermittlung: erhöhte Schutzmaßnahmen, regelmäßig Transfer Impact Assessment (TIA) erforderlich.
• Pseudonymisierung: empfohlene Praxis, oft im Forschungs-Kontext Pflicht.

Praxis: Wie KMU mit Gesundheitsdaten-Verarbeitung umgehen

Vollständige Vorgehensweise:

1. Inventarisierung: Welche Verarbeitungen umfassen Gesundheitsdaten? Auch indirekte Daten prüfen.
2. Rechtsgrundlage pro Verarbeitung: passenden Tatbestand aus Art. 9 Abs. 2 zuordnen.
3. §22 BDSG-Schutzmaßnahmen: technische und organisatorische Maßnahmen umsetzen, Verschlüsselung, Pseudonymisierung, Berechtigungskonzept.
4. DPIA: für große Verarbeitungen Folgenabschätzung durchführen und aktualisieren.
5. DSB: bei Kerntätigkeit Pflicht-DSB bestellen.
6. Schulung: Sensibilisierung aller mit Gesundheitsdaten befassten Personen.
7. Aufbewahrungsfristen: dokumentieren und einhalten.

FAQ

Sind Sozialdaten auch Gesundheitsdaten?

Nicht automatisch. Sozialdaten nach §35 SGB I umfassen alle Daten, die im Rahmen eines Sozialleistungsverfahrens erhoben werden. Soweit sie Gesundheitsinformationen enthalten, etwa Pflegegrad, Krankheitstage, sind sie auch Gesundheitsdaten und unterliegen Art. 9 DSGVO. Reine Beitrags- oder Mitgliedsdaten ohne Gesundheitsbezug fallen nicht unter Art. 9.

Brauche ich für jedes Patientengespräch eine Einwilligung?

Nein. Die normale ärztliche Behandlung läuft über Art. 9 Abs. 2 lit. h, Heilbehandlung auf Grundlage von Heilberufegesetz und Berufsordnung. Einwilligung ist nur nötig für optionale Verarbeitungen, die nicht zur Heilbehandlung gehören, Newsletter, Werbung, Forschungsprojekt-Teilnahme, Drittweitergabe (z.B. Erinnerungs-SMS über Drittanbieter).

Was passiert bei einer Datenpanne mit Gesundheitsdaten?

Eine Datenpanne, die besondere Kategorien betrifft, ist nach Art. 33 DSGVO regelmäßig meldepflichtig an die Datenschutzaufsicht, innerhalb 72 Stunden. Bei voraussichtlich hohem Risiko zusätzlich Benachrichtigung der betroffenen Personen nach Art. 34. Gesundheitsdaten-Pannen werden von Aufsichtsbehörden als regelmäßig hochriskant eingestuft. Die Aufsichten in Deutschland orientieren sich an dem Beschluss der Datenschutzkonferenz (DSK).

Wie ist die Bußgeldhöhe bei Gesundheitsdaten-Verstößen?

Verstöße gegen Art. 9 DSGVO fallen in die höchste Bußgeldkategorie nach Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. In der deutschen Bußgeldpraxis (Stand 2024-2026) sind Gesundheitsdaten-Verstöße regelmäßig sechsstellig, ein systematischer Verstoß über mehrere Jahre kann siebenstellig werden. Die BfDI und die Landesaufsichten dokumentieren ihre Fälle teilweise im Tätigkeitsbericht.