Allgemein gilt mit der DSGVO, dass personenbezogene Daten nicht verarbeitet werden dürfen, es sei denn, es liegt eine Erlaubnis vor. Damit haben wir den Fall des sog. Verbots mit Erlaubnisvorbehalt. Demnach wird entweder eine Einwilligung gem. Art. 6 Abs. 1 a) DSGVO des Betroffenen vorausgesetzt oder es liegen gesetzliche Erlaubnistatbestände iSd. Art. 6 Abs. 1 b) bis f) DSGVO zur Verarbeitung vor.

Zunächst ist zu klären, ob der Grundsatz bei der Verarbeitung von personenbezogenen Daten der besonderen Kategorie gem. Art. 9 Abs. 1 DSGVO ausreicht?

Was sind besondere personenbezogene Daten?

Personenbezogene Daten der besonderen Kategorie sind solche, aus denen die rassische und ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugung oder die Gewerkschaftszugehörigkeit hervorgehen.

Aber auch die Verarbeitung von genetischen Daten (u.a. Haarproben, Blutproben) sowie biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person (u.a. Lichtbilder, Iris-Scan, Fingerabdrucke-Scan), Gesundheitsdaten (auch Krankenscheine und Krankentage) oder Daten zum Sexualleben und der sexuellen Orientierung (auch Angabe über Geschlecht) einer natürlichen Person gehören zu dieser besonderen Kategorie.

Grundsätzlich gilt, dass es untersagt ist, diese Daten zu erheben.

Was bedeutet das nun?

In vielen Branchen werden gerade auch diese sensiblen Daten benötigt. Das betrifft insbesondere das Sozial- und Gesundheitswesen, denn ohne die Gesundheitsdaten und Informationen hierzu kann der Arzt nicht agieren. Er muss wissen, welche Erkrankungen vorliegen, um eine konkrete Diagnose zu stellen und eine erfolgsversprechende Therapie auszuwählen. Aber auch die Physiotherapeuten, Ergotherapeuten, Rettungsdienstmitarbeiter und Pflegedienstleister müssen diese Daten nutzen, um überhaupt handeln zu können.  Doch auch andere Branchen wie Arbeitnehmervertretungen (Gewerkschaften), politische Vereinigungen, Lohnsteuerbüros und ähnliche Dienstleister, welche Unternehmen bei der Lohnabrechnung unterstützen, sind mit sensiblen Daten konfrontiert. Allein schon die Religionszugehörigkeit ist für die Berechnung und Zahlung der Kirchensteuer notwendig.

Da aber die Verarbeitung dieser Daten grundsätzlich untersagt ist, bleibt die Frage, ob und wie diese Daten überhaupt erhoben und verarbeitet werden dürfen und sollten.

Hier ist zunächst ein Blick in Art. 9 Abs. 2 DSGVO sinnvoll. Gerade für die Zwecke, wo es notwendig ist die Daten zu verarbeiten, können auch hier gesetzliche Erlaubnistatbestände vorliegen. In erster Linie kann dieses Verbot durch eine Einwilligung des Betroffenen umgangen werden, soweit diese explizit die Einwilligung in die Verarbeitung dieser sensiblen Daten betrifft. Das bedeutet, die Einwilligungserklärung ist im besonderem Maße zu gestalten und zu überprüfen, damit hier die Voraussetzungen gem. Art. 9 Abs. 2 a) DSGVO erfüllt sind.

Gesetzliche Erlaubnistatbestände lassen sich gem. Art. 9 Abs. 2 b) bis J) DSGVO finden. Hiernach ist es soweit erlaubt die Daten zu erheben, soweit dies für die gesetzlichen Pflichten notwendig ist. Arbeitgeber dürfen diese Daten (Religionszugehörigkeit, Krankentage, ggf. Gewerkschaftszugehörigkeit) verarbeiten, wenn es dem Zweck dient wie zum Beispiel die Rechte und Pflichten aus dem Arbeitsverhältnis zu erfüllen.

Der Gesundheitsbranche angehörige Berufsfelder sowie Sozialverbände können diese Daten erheben, soweit es für die Rechtsbeziehung und Tätigkeit notwendig ist.

Es lässt sich nunmehr ableiten, dass dort wo die Verarbeitung von personenbezogenen Daten der besonderen Kategorie notwendig ist oder eine explizite Einwilligung in die Verarbeitung von sensiblen Daten vorliegt, die Verarbeitung gestattet ist.

Allerdings gilt es zu beachten, dass alle Ausnahmetatbestände stets darauf hinweisen, dass immer noch zu prüfen ist, inwiefern das Unionsrecht oder das Recht der Mitgliedsstaaten entsprechende Verbote der Erhebung und Verarbeitung erlassen hat.

Aus diesem Grund hat es sich damit nicht erledigt, sich nur auf die Ausnahmetatbestände gem. Art. 9 Abs. 2 DSGVO zu beschränkten. Vielmehr ist nach diesem zu prüfen, inwiefern andere Verbote greifen könnten.

Ein ganz besonderes Augenmerk gilt hier gem. § 22 abs. 2 BDSG (neu), denn auch wenn die Erhebung und Verarbeitung der Daten ausnahmsweise gestattet ist, ist sodann jeweils eine Datenschutz-Folgeabschätzung durchzuführen. Das bedeutet aber auch, dass diese Daten besonders zu schützen sind. Hierfür sind entsprechende technische und organisatorische Maßnahmen einzusetzen.

FAZIT

Grundsätzlich ist die Erhebung und Verarbeitung von personenbezogenen Daten der besonderen Art stets untersagt. Wenn für die Verarbeitung eine Erlaubnis vorliegt, muss darauf geachtet werden, dass die Einwilligung wirksam ist und keine anderen rechtlichen Verbote vorliegen. Zuletzt ist immer eine Datenschutz-Folgeabschätzung erfolgt.

Deshalb ist bei der Verarbeitung von sensiblen Daten stets eine vorherige datenschutzrechtliche Beratung einzuholen. Wenn einen Datenschutzbeauftragter vorhanden ist, ist dieser immer in den Prozess einzubinden. Nur durch eine entsprechende Beratung kann eine rechtskonforme Verarbeitung erfolgen und somit ein Bußgeld umgangen werden.