insbesondere schwerwiegende grenzüberschreitende Gesundheitsgefahren oder die Gewährleistung hoher Qualitäts- oder Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten erforderlich und angemessen ist (vgl. ErwG 54 Satz 2). Dabei müssen besondere Maßnahmen zum Schutz der Rechte und Freiheiten natürlicher Personen vorgesehen werden.
34
Voraussetzung ist jedoch auch hier, dass das unionsrechtliche oder mitgliedstaatliche Recht die Verarbeitung erlaubt. Geregelt werden können auf diese Weise zum Beispiel spezifische Meldepflichten für bestimmte Erkrankungen (bspw. Meldepflichten des Infektionsgesetzes).105 Bezüglich dieser Daten besteht sodann eine strenge Zweckbindung, sodass diese nicht durch Dritte zu anderen Zwecken verarbeitet werden dürfen (vgl. ErwG 54 Satz 3).
10. Archiv-, Forschungs- und statistische Zwecke (lit. j)
35
Zur Archivierung, für wissenschaftliche oder historische Forschungszwecke sowie für statistische Zwecke kann durch Unionsrecht oder Recht der Mitgliedstaaten die Verarbeitung der in Abs. 1 genannten Daten zulässig sein, sofern es die genannten Voraussetzungen erfüllt und vor allem im öffentlichen Interesse liegt. Das Erfordernis eines öffentlichen Interesses bezieht sich auf alle in lit. j genannten Alternativen.106 Darüber hinaus muss es sich um eine angemessene und erforderliche Regelung handeln, durch die der Wesensgehalt des Rechts auf Datenschutz gewahrt und angemessene sowie spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der Personen getroffen werden, womit demzufolge gegebenenfalls eigenständige Maßnahmen getroffen werden müssen. Dabei lässt die Formulierung nicht ausdrücklich erkennen, dass es sich um eine über die DSGVO hinausgehende Absicherung handeln muss.107 Auf jeden Fall muss aber sichergestellt sein, dass das Forschungsinteresse die Interessen der betroffenen Person überwiegt.108
36
Die Definition von Archiv-, historische und wissenschaftliche Forschungszwecke sowie statistische Zwecke richtet sich sodann nach Art. 89 Abs. 1, auf den lit. j DSGVO verweist.
IV. Nationale Regelungen (Abs. 4)
37
Durch die Regelung in Abs. 4 besteht die Möglichkeit der Mitgliedstaaten, die Verarbeitung von genetischen oder biometrischen Daten bzw. Gesundheitsdaten durch zusätzliche Bedingungen zu regeln. Dies kann beispielsweise in Form von besonderen Erfordernissen der Fall sein, wie bspw. einem Schriftformerfordernis (vgl. z.B. das GenDG).109 Die zusätzlichen Anforderungen müssen in Bezug auf die jeweiligen Schutzzwecke demzufolge geeignet, erforderlich und angemessen sein.110 Die Möglichkeit, die Verarbeitung durch nationale Regelungen zu erleichtern, besteht demgegenüber nicht, da die Regelungen nicht hinter dem Schutzbereich der DSGVO zurückbleiben dürfen.111 Auf Bundesebene wurde Art. 9 durch § 22 BDSG umgesetzt, in dem weiterhin entgegen den Regelungen der DSGVO eine Unterscheidung zwischen öffentlichen und nicht-öffentlichen Stellen beibehalten wird.112 Bestehen keine bereichsspezifischen Vorschriften in spezialgesetzlichen Regelungen ist das BDSG anzuwenden.
V. Rechtsschutz und Sanktionen
38
Der betroffenen Person steht bei Verstößen gegen die Vorgaben des Art. 9 DSGVO zunächst einmal das Recht auf Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO) sowie ein wirksamer Rechtsbehelf gegen den Verantwortlichen oder den Auftragsverarbeiter zu.
39
Wird ohne Vorliegen einer der in Abs. 2 geregelten Ausnahmetatbestände eine Verarbeitung besonderer Kategorien personenbezogener Daten vorgenommen, handelt es sich überdies um eine unzulässige Verarbeitung personenbezogener Daten, welche gemäß Art. 83 Abs. 5 lit. a DSGVO bußgeldbewehrt ist.113 Daneben bestehen die Ansprüche auf Unterlassen (§§ 1004, 823 Abs. 1 BGB i.V.m. Art. 6 Abs. 1 DSGVO) und Löschung (Art. 17 DSGVO) sowie gegebenenfalls auf Schadensersatz (Art. 82 DSGVO).114
1 Zum Personenbezug nach DSGVO siehe Krügel, ZD 2017, 455; zu evtl. Schwierigkeiten vgl. Schmitz, ZD 2018, 5; geschützt werden soll vor Benachteiligung und Diskriminierung, vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 1. 2 Zum Ursprung im französischen Recht vgl. Weichert, in: Kühling/Buchner, DS-GVO/BDSG, Art. 9 Rn. 1; die Bezeichnung „sensitive Daten“ bevorzugend Schulz, in: Gola, DS-GVO, Art. 9 Rn. 1. 3 Kritisch dazu, dass die Daten und nicht die Verarbeitungskontext der Ansatz für die besondere Schutzwürdigkeit ist, Schulz, in: Gola, DS-GVO, Art. 9 Rn. 2. 4 Thode, in: Schläger/Thode, Handbuch Datenschutzrecht und IT-Sicherheit, Kapitel A; Albrecht, CR 2016, 88, 97. 5 Vgl. Thode, in: Schläger/Thode, Handbuch Datenschutzrecht und IT-Sicherheit, Kapitel A. 6 Dadurch erfolgt eine Aufweichung des generellen Verarbeitungsverbotes, vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 2. 7 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 3; daher zu Recht von einer restriktiven Anwendung bestehender Erlaubnistatbestände ausgehend Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 3. 8 Darin die Gefahr der Harmonisierungswirkung sehend Schulz, in: Gola, DS-GVO, Art. 9 Rn. 3; Kühling/Martini, EuZW 2016, 448, 450; zum Harmonisierungszweck schon Eckhardt/Kramer/Mester, DuD 2013, 623, 624f. 9 Dazu mit weiteren Nachweisen Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 14; zum Recht auf informationelle Selbstbestimmung siehe das Volkszählungsurteil, BVerfG, Urt. v. 15.12.1983 – 1 BvR 209/83, NJW 1984, 419, 422. 10 Kritisch dazu schon Simitis, in: Simitis, BDSG, 8. Aufl. 2014, § 3 Rn. 250–252; wohl auch Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 4; in gewisser Weise auch Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 13. 11 BVerfG, Urt. v. 15.12.1983 – 1 BvR 209/83, BVerfGE 65, 1 = NJW 1984, 419, 422. 12 Ebenso Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 13. 13 Diese ohne weitere Prüfung voraussetzend Albrecht/Jotzo, Das neue Datenschutzrecht der EU, 2017, Rn. 59. 14 Albrecht/Jotzo, Das neue Datenschutzrecht der EU, Rn. 59. 15 Vgl. Schulz, in: Gola, DS-GVO, Art. 9 Rn. 13; zum bislang geltenden Recht außerdem Art.-29-Datenschutzgruppe, Advice paper on special categories of data („sensitive data“), 4/2011, 6. 16 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 22; Schulz, in: Gola, DS-GVO, Art. 9 Rn. 13; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 14; a.A. Bergauer, in: Knyrim, Datenschutzgrundverordnung, S. 60. 17 Vgl. Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 23; zur alten Gesetzeslage Simitis, in: Simitis, BDSG, 8. Aufl. 2014, § 3 Rn. 265; siehe auch Schulz, in: Gola, DS-GVO, Art. 9 Rn. 13, der im Zweifel die Anwendbarkeit von Art. 9 verneint; allerdings den Anwendungsbereich der Norm wegen der Aussage zum Sexualleben als eröffnet ansehend, wenn ein Hotelzimmer mit getrennten Betten gebucht wird, Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 14; zum Problem der Wesensdaten, vgl. Oettel, DuD 2021, 623. 18