Wann sind Gesundheitsdaten nach Art. 9 DSGVO besonders?

Definition: Was sind Gesundheitsdaten konkret?

Art. 4 Nr. 15 DSGVO definiert Gesundheitsdaten weit: personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Daraus folgt: nicht nur Diagnose-Daten oder Laborwerte sind Gesundheitsdaten. Auch:

• Termin-Daten mit einem Arzt, die schlichte Tatsache, dass eine Person bei einem Onkologen war, ist eine Gesundheitsinformation.
• Versicherungs-Daten, soweit sie Rückschlüsse auf den Gesundheitszustand zulassen, etwa Angaben aus Gesundheitsfragen im Versicherungsantrag oder die Pflegegradeinstufung.
• Indirekte Daten, aus denen sich durch gedankliche Kombination oder Ableitung auf den Gesundheitszustand schließen lässt, etwa Bestelldaten für Arzneimittel bei einer Apotheke, auch wenn diese nicht verschreibungspflichtig sind (EuGH, Urteil vom 4. Oktober 2024, C-21/23, Lindenapotheke).

Nicht zu den Gesundheitsdaten zählen genetische Daten (Art. 4 Nr. 13 DSGVO) und biometrische Daten zur eindeutigen Identifizierung (Art. 4 Nr. 14 DSGVO): Art. 9 Abs. 1 DSGVO führt sie als eigene besondere Kategorien, für die dasselbe Verarbeitungsverbot gilt.

Der EuGH hat im Urteil vom 4. Oktober 2024 (C-21/23) klargestellt, dass der Begriff der Gesundheitsdaten angesichts des Ziels eines hohen Schutzniveaus weit auszulegen ist. Materialien des EDSA zum Gesundheitsbereich sind auf seiner Themenseite Gesundheit und Forschung gesammelt.

Grundverbot mit Ausnahmen: die zehn Erlaubnis-Tatbestände

Art. 9 Abs. 1 DSGVO formuliert ein Verarbeitungsverbot für Gesundheitsdaten. Art. 9 Abs. 2 listet zehn Ausnahmen. Liegt eine davon vor, ist das Verbot aufgehoben; zusätzlich braucht die Verarbeitung eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO und muss die Grundsätze des Art. 5 wahren (EuGH, Urteil vom 21. Dezember 2023, C-667/21):

• lit. a, Einwilligung: ausdrücklich erteilt, für einen oder mehrere spezifizierte Zwecke. Bei Gesundheitsdaten muss die Einwilligung besonders aufmerksam dokumentiert werden, Widerruf jederzeit möglich.
• lit. b, Arbeitsrecht und Sozialrecht: Verarbeitung erforderlich für Pflichten und Rechte im Bereich Arbeits-, Sozial- und Sozialschutzrecht. Klassischer Anwendungsfall: Arbeitgeberzahlungen bei Krankheit, Pflegeversicherungs-Abwicklung.
• lit. c, Lebenswichtige Interessen: Verarbeitung erforderlich zum Schutz lebenswichtiger Interessen, wenn die betroffene Person körperlich oder rechtlich nicht in der Lage ist, Einwilligung zu erteilen.
• lit. d, Stiftungen und Vereine: Verarbeitung im Rahmen rechtmäßiger Tätigkeiten politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichteter Organisationen ohne Gewinnerzielungsabsicht, beschränkt auf Mitglieder, ehemalige Mitglieder und Personen mit regelmäßigen Kontakten; keine Offenlegung nach außen ohne Einwilligung.
• lit. e, Öffentlich gemachte Daten: die betroffene Person hat die Daten offensichtlich öffentlich gemacht.
• lit. f, Rechtsansprüche: Verarbeitung erforderlich zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
• lit. g, Öffentliches Interesse: Verarbeitung erforderlich aus Gründen eines erheblichen öffentlichen Interesses, auf Grundlage einer Rechtsvorschrift.
• lit. h, Heilbehandlung: Verarbeitung zur Gesundheitsvorsorge, Diagnostik, Versorgung oder Behandlung, auf Grundlage einer Rechtsvorschrift oder eines Vertrags mit einem Angehörigen eines Gesundheitsberufs.
• lit. i, Öffentliche Gesundheit: Verarbeitung erforderlich aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, etwa Schutz vor schweren grenzüberschreitenden Gesundheitsgefahren.
• lit. j, Forschung und Statistik: Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, auf Grundlage einer Rechtsvorschrift mit angemessenen Garantien.

Deutsche Konkretisierung: §22 BDSG

§22 BDSG ergänzt Art. 9 DSGVO durch spezifische deutsche Regelungen. Wichtigste Tatbestände:

• Sozialschutz (§ 22 Abs. 1 Nr. 1 lit. a BDSG): Verarbeitung, die erforderlich ist, um Rechte aus dem Recht der sozialen Sicherheit und des Sozialschutzes auszuüben und den diesbezüglichen Pflichten nachzukommen.
• Gesundheitsvorsorge und Versorgung (§ 22 Abs. 1 Nr. 1 lit. b BDSG): Gesundheitsvorsorge, Beurteilung der Arbeitsfähigkeit, medizinische Diagnostik, Versorgung oder Behandlung im Gesundheits- oder Sozialbereich, soweit ärztliches Personal oder andere zur Geheimhaltung verpflichtete Personen die Daten verarbeiten.
• Öffentliche Gesundheit (§ 22 Abs. 1 Nr. 1 lit. c BDSG): etwa Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten.

Für das Beschäftigungsverhältnis enthält § 26 Abs. 3 BDSG eine eigene Regelung: Die Verarbeitung ist zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung von Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein überwiegendes schutzwürdiges Interesse der betroffenen Person entgegensteht. Beispiele: Erfassung von Arbeitsunfähigkeitsbescheinigungen, Schwerbehinderten-Vermerk, Mutterschutz-Bescheinigung.

§ 22 Abs. 2 BDSG verlangt zusätzlich angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person. Dazu „können insbesondere gehören“:

• technisch-organisatorische Maßnahmen, die eine DSGVO-konforme Verarbeitung sicherstellen (Nr. 1),
• Protokollierung, wer Daten eingegeben, verändert oder entfernt hat (Nr. 2),
• Sensibilisierung der an der Verarbeitung Beteiligten (Nr. 3),
• Benennung eines Datenschutzbeauftragten (Nr. 4),
• Beschränkung des Zugangs innerhalb der verantwortlichen Stelle und bei Auftragsverarbeitern (Nr. 5),
• Pseudonymisierung (Nr. 6) und Verschlüsselung (Nr. 7),
• Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit einschließlich rascher Wiederherstellung (Nr. 8),
• ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen (Nr. 9),
• spezifische Verfahrensregeln für Übermittlungen und Verarbeitungen zu anderen Zwecken (Nr. 10).

Pflicht ist, angemessene Maßnahmen vorzusehen. Der Katalog ist beispielhaft: Welche Maßnahmen genügen, richtet sich nach Stand der Technik, Implementierungskosten und dem Risiko der Verarbeitung. Nicht jede einzelne Maßnahme ist in jedem Fall zwingend.

Beispiele aus der Praxis

Arztpraxis:

• Patientenakten (Diagnose, Therapie, Verlauf): lit. h
• Abrechnung mit Krankenkasse: lit. h + SGB V
• Newsletter-Anmeldung mit Patienteninfos: lit. a (Einwilligung)
• Gutachten für eine Versicherung: Weitergabe nur mit Schweigepflichtentbindung und ausdrücklicher Einwilligung des Patienten (lit. a, § 203 StGB)

Apotheke:

• E-Rezept-Einlösung: lit. h + SGB V (§ 360 SGB V)
• PAYBACK-Programm: NICHT lit. h, separater Tatbestand nötig, in der Regel Einwilligung
• Notdienst-Dokumentation: lit. h; lit. c nur, wenn lebenswichtige Interessen betroffen sind und die Person nicht einwilligungsfähig ist

Arbeitgeber:

• AU-Bescheinigung erfassen: lit. b (Arbeitsrecht)
• Betriebliches Eingliederungsmanagement (BEM): lit. b + Einwilligung (separate Erklärung)
• Schwerbehinderten-Vermerk: lit. b (SGB IX)
• Werks-Mensa mit Allergie-Info: lit. a (Einwilligung)

Gesundheits-App-Anbieter:

• Fitness-Tracker-Daten: lit. a (Einwilligung), Datenerhebung erfolgt direkt durch den Nutzer
• Verknüpfung mit Arzt-Daten: in der Regel ausdrückliche Einwilligung (lit. a), sofern keine Rechtsvorschrift die Übermittlung erlaubt
• Auswertung für Forschung: lit. j, wenn eine Rechtsvorschrift mit angemessenen Garantien besteht, sonst lit. a; vollständig anonymisierte Daten fallen nicht mehr unter die DSGVO (Erwägungsgrund 26), die Anonymisierung selbst ist aber eine Verarbeitung

Konsequenzen für die Verarbeitungs-Praxis

Wer Gesundheitsdaten verarbeitet, hat erhöhte Pflichten, über das allgemeine DSGVO-Niveau hinaus:

• DPIA-Pflicht: Die Verarbeitung besonderer Kategorien in großem Umfang ist nach Art. 35 Abs. 3 lit. b DSGVO immer DPIA-pflichtig. Für nicht-öffentliche Stellen nennt die DSFA-Muss-Liste der Datenschutzkonferenz weitere Fälle; für seinen Zuständigkeitsbereich hat der BfDI eine eigene Liste veröffentlicht.
• Datenschutzbeauftragter: Pflicht zur Bestellung eines DSB ab Art. 37 Abs. 1 lit. c DSGVO bei Kerntätigkeiten, die in großem Umfang besondere Kategorien verarbeiten.
• Berechtigungskonzept: streng rollenbasierter Zugriff, mit dokumentierter Notwendigkeit pro Zugriffsrolle.
• Aufbewahrung: zweckgebundene Aufbewahrungsfristen, etwa 10 Jahre für die Patientenakte (§ 630f Abs. 3 BGB) oder länger: Strahlenbehandlungen 30 Jahre (§ 85 Abs. 2 Nr. 1 StrlSchG), Transfusionsdokumentation mindestens 15 Jahre, Angaben zur Rückverfolgung mindestens 30 Jahre (§ 14 Abs. 3 TFG).
• Drittlandübermittlung: erhöhte Schutzmaßnahmen; bei Übermittlungen auf Grundlage von Standardvertragsklauseln ist regelmäßig ein Transfer Impact Assessment (TIA) nötig. Für Empfänger, die unter einen Angemessenheitsbeschluss fallen (etwa nach dem EU-US Data Privacy Framework zertifizierte US-Unternehmen), entfällt es.
• Pseudonymisierung: empfohlene Praxis, oft im Forschungs-Kontext Pflicht.

Praxis: Wie KMU mit Gesundheitsdaten-Verarbeitung umgehen

Vollständige Vorgehensweise:

1. Inventarisierung: Welche Verarbeitungen umfassen Gesundheitsdaten? Auch indirekte Daten prüfen.
2. Rechtsgrundlage pro Verarbeitung: passenden Tatbestand aus Art. 9 Abs. 2 zuordnen.
3. §22 BDSG-Schutzmaßnahmen: technische und organisatorische Maßnahmen umsetzen, Verschlüsselung, Pseudonymisierung, Berechtigungskonzept.
4. DPIA: für große Verarbeitungen Folgenabschätzung durchführen und aktualisieren.
5. DSB: bei Kerntätigkeit Pflicht-DSB bestellen.
6. Schulung: Sensibilisierung aller mit Gesundheitsdaten befassten Personen.
7. Aufbewahrungsfristen: dokumentieren und einhalten.

FAQ

Sind Sozialdaten auch Gesundheitsdaten?

Nicht automatisch. Sozialdaten sind nach § 67 Abs. 2 SGB X personenbezogene Daten, die eine in § 35 SGB I genannte Stelle im Hinblick auf ihre Aufgaben nach dem Sozialgesetzbuch verarbeitet; § 35 SGB I schützt sie als Sozialgeheimnis. Soweit sie Gesundheitsinformationen enthalten, etwa Pflegegrad, Krankheitstage, sind sie auch Gesundheitsdaten und unterliegen Art. 9 DSGVO. Reine Beitrags- oder Mitgliedsdaten ohne Gesundheitsbezug fallen nicht unter Art. 9.

Brauche ich für jedes Patientengespräch eine Einwilligung?

Nein. Die normale ärztliche Behandlung läuft über Art. 9 Abs. 2 lit. h, Heilbehandlung auf Grundlage von Heilberufegesetz und Berufsordnung. Einwilligung ist nur nötig für optionale Verarbeitungen, die nicht zur Heilbehandlung gehören, Newsletter, Werbung, Forschungsprojekt-Teilnahme, Drittweitergabe (z.B. Erinnerungs-SMS über Drittanbieter).

Was passiert bei einer Datenpanne mit Gesundheitsdaten?

Eine Datenpanne, die besondere Kategorien betrifft, ist nach Art. 33 DSGVO regelmäßig meldepflichtig an die Datenschutzaufsicht, innerhalb 72 Stunden. Bei voraussichtlich hohem Risiko zusätzlich Benachrichtigung der betroffenen Personen nach Art. 34. Gesundheitsdaten-Pannen werden von Aufsichtsbehörden als regelmäßig hochriskant eingestuft. Maßstab für die Risikobewertung sind die Leitlinien 9/2022 des EDSA zur Meldung von Datenschutzverletzungen.

Wie ist die Bußgeldhöhe bei Gesundheitsdaten-Verstößen?

Verstöße gegen Art. 9 DSGVO fallen in die höchste Bußgeldkategorie nach Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Die konkrete Höhe richtet sich nach den Kriterien des Art. 83 Abs. 2 DSGVO, unter anderem Art, Schwere und Dauer des Verstoßes sowie die Kategorien der betroffenen Daten (lit. g). Die BfDI und die Landesaufsichten dokumentieren ihre Fälle teilweise im Tätigkeitsbericht.