Die datenschutzrechtliche Einwilligung im Gesundheitsbereich unter der DSGVO. Anna-Lena Hoffmann

dass sich Gesundheitsdaten nicht sicher anonymisieren lassen – wenn also Gesundheitsdaten vorliegen, lässt sich auch eine Person dazu indirekt identifizieren, vgl. Coppen et al., Will the trilogue on the EU Data Protection Regulation recognise the importance of health research?, European Journal of Public Health, S. 757. 229 Schneider, ZD 2017, S. 305; vgl. auch Petri, in: Simitis/Hornung/Spiecker gen. Döhmann (Hrsg.), DatenschR, Art. 4 N. 15 Rn. 4; a.A. VG Mainz, Urteil vom 20. Februar 2020, Az. 1 K 467/19.MZ, wonach allein aufgrund einer „abstrakten Möglichkeit“ dass Rückschlüsse auf die Gesundheit eines Menschen gezogen werden können, diese Informationen noch nicht zu Gesundheitsdaten werden. Dabei ging es um Informationen aus einem Tierbehandlungsvertrag und der Tatsache, dass bei manchen Tierkrankheiten eine Übertragung auf den Menschen nicht ausgeschlossen werden kann. 230 Vgl. Ernst, in: Paal/Pauly (Hrsg.), DS-GVO, Art. 4 Nr. 15 Rn. 108. 231 Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 4 N. 15 Rn. 5. 232 Vgl. ErwG 35 DSGVO; Ernst, in: Paal, Pauly, DSGVO BDSG, Art. 4 Rn. 108. 233 In Artikel-29-Datenschutzgruppe, ANNEX – Health Data in Apps and Devices 2015, S. 3, heißt es: “These types of data processing may create risks, including the risk of unfair treatment based on data about a person’s assumed or actual health status”. 234 Vgl. ErwG 26 in: EU-Kommission, KOM(2012) 11 endg., S. 24; unverändert übernommen durch: EU-Parlament, P7_TA(2014)0212 Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (allgemeine Datenschutzverordnung) (COM(2012)0011 — C7-0025/2012 — 2012/0011(COD)) P7_TC1-COD(2012)0011 Standpunkt des Europäischen Parlaments festgelegt in erster Lesung am 12. März 2014 im Hinblick auf den Erlass der Verordnung (EU) Nr. .../2014 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung), ABl. C 378 vom 9.11.2017, S. 404. 235 So auch Bitter, in: Hoeren/Sieber/Holznagel (Hrsg.), Multimedia-Recht, 54. EL, April 2020, Teil 15.4 Rn. 11 m.w.N. 236 Danach beschreibt ErwG 35 Gesundheitsdaten als solche Daten, „die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen“; dafür, dass auch Zahlungsdaten Gesundheitsdaten sein können, plädiert Bitter in: Hoeren/Sieber/Holznagel (Hrsg.), Multimedia-Recht, 52. EL, April 2020, Teil 15.4, Rn. 11. 237 Vgl. Art 9 DSGVO und Art. 32 DSGVO. 238 Frenzel, in: Paal/Pauly (Hrsg.), DS-GVO BDSG Art. 9 Rn. 1, 9; die Diskussion fand bereits unter der DSRL statt, vgl. nur Kosta, Consent in European Data Protection Law, S. 98, Meier, Der rechtliche Schutz patientenbezogener Gesundheitsdaten, 2003, S. 56; Kollek, in: Anzinger/Hamacher/Katzenbeisser (Hrsg.), Schutz genetischer, medizinischer und sozialer Daten als multidisziplinäre Aufgabe, 2013, S. 11ff.; Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 8. 239 Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 8 sehen jedoch eine „Ausprägung des risikobasierten Ansatzes“. 240 Artikel-29-Datenschutzgruppe, ANNEX – Health Data in Apps and Devices 2015. 241 EuGH, Urteil vom 6. November 2003, C-101/01, Lindqvist, ECLI:EU:C:2003:596, Rn. 51. 242 Vgl. EuG, Urteil vom 31. Mai 2005, T-105/03, Dionyssopoulou/Rat, ECLI:EU: T:2005:189, Rn. 33, 34. 243 Hierzu ausführlich: Artikel-29-Datenschutzgruppe, ANNEX – Health Data in Apps and Devices 2015. 244 Vgl. hierzu bereits Teil 1, A. II. 2. e. bb. (6) (Bedingungen und Beschränkungen für die Verarbeitung von genetischen Daten, biometrischen Daten oder Gesundheitsdaten) in dieser Arbeit. 245 Ausweislich der ErwG 9 und 10 DSGVO stellen Unterschiede im Schutzniveau ein Hemmnis für die Ausübung von Wirtschaftstätigkeiten dar und das Schutzniveau sollte in allen Mitgliedstaaten gleichwertig sein. Gemäß ErwG 13 DSGVO ist dies ein Grund, warum die Form der Verordnung gewählt wurde. 246 Beispielsweise § 22 Abs. 2 BDSG, welcher einen nicht abschließenden Katalog an technischen und organisatorischen Maßnahmen enthält; vgl. auch Paschke, in: Specht/Mantz (Hrsg.), Handbuch Europäisches und deutsches Datenschutzrecht, 2019, § 13 Rn. 32; für eine weite Auslegung auch Bygrave/Tosoni, in: Kuner/Bygrave/Docksey (Hrsg.), The EU GDPR, S. 343. Mit Blick auf negative Auswirkungen von abgeleiteten Daten in der Corona-Pandemie auch Škiljić, Health Data (‘Data Concerning Health’), Inferences – an Unexplored Volcano Eager to Erupt Post COVID-19 Crisis, Aligning Inferences with GDPR Principles?, European Law Institute 2021. 247 Zur Schutzgutdebatte vgl. nur Veil, Die Schutzgutmisere des Datenschutzrechts – Teil I, CRonline.de Blog vom 6. Februar 2019, abrufbar unter https://www.cr-online.de/blog/2019/02/06/die-schutzgutmisere-des-datenschutzrechts-teil-i/ (zuletzt abgerufen am 11.04.2021). 248 Vgl. ErwG 10, 51 und 93 DSGVO. 249 In der englischen Fassung wird von „sensitive data“ und in der französischen Fassung von „données sensibles“ gesprochen. 250 So wohl Albrecht/Jotzo, Das neue DatenschutzR, 2017, Teil 3 Rn. 57. 251 Vgl. auch Schneider, ZD 2017, S. 303.