Art. 9 DSGVO – ein Mysterium mit offenen Fragen

Dr. Carlo Piltz Chefredakteur Datenschutz-Berater

Lieber Leserinnen und Leser,

haben Sie sich schon einmal gefragt, ob und wann Sie „Gesundheitsdaten“ im Sinne der DSGVO verarbeiten? Nach der Legaldefinition in Art. 4 Nr. 15 DSGVO sind dies Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Beschäftigt man sich näher mit der Auslegung dieses Begriffs, wird schnell klar, dass insbesondere die Datenschutzbehörden zum Teil ein kaum praktikables und ausuferndes Verständnis dieses Begriffs pflegen. Ein Beispiel? Die Datenschutzbehörde des Saarlands ging davon aus, dass bereits die Videoaufnahme, in der eine Person eine Apotheke betritt, als Gesundheitsdatum (noch nach dem alten § 3 Abs. 9 BDSG aF) zu werten sei. Das OVG Saarlouis sah dies, meines Erachtens zurecht, anders. Nach Ansicht des OVG stellt das Aufsuchen einer Apotheke, in der außer Medikamenten auch ein breites Sortiment an Kosmetika und sonstigen „Wellness“- oder Convenient-Produkten angeboten wird, „kein Indiz für das Vorliegen einer Erkrankung dar und bewirkt daher keine Bloßstellung“. Eine von mir bevorzugte und vor allem praktikable Lösung der Anwendung des Art. 9 DSGVO ist, auf die Auswertungsabsicht des Verantwortlichen abzustellen. So sieht dies z.B. auch das VG Mainz in einem Urteil aus September 2020, in dem sich der Betreiber einer Videoüberwachungsanlage gegen eine Verwarnung der Aufsichtsbehörde aus Rheinland-Pfalz wendete. Auch dort ging es um die Frage, ob Videoaufzeichnungen von Personen Gesundheitsdaten im Sinne des Art. 9 DSGVO darstellen. Sicher muss man zugestehen, dass es bei einer personengenauen Auflösung der Kameraaufnahmen grundsätzlich möglich ist, dass besondere Kategorien personenbezogener Daten erfasst werden. So lassen sich durch das äußere Erscheinungsbild der gefilmten Personen möglicherweise ihre ethnische Herkunft (Hautfarbe, Haare) oder Gesundheitsdaten (z.B. Brille, Rollstuhl) erkennen. Allerdings, so das Gericht, ging es dem Betreiber der Videoüberwachungsanlage gerade nicht darum, genau diese personenbezogenen Daten besonderer Kategorien zu erfassen. Er beabsichtigte mit der Videoüberwachung Strafprävention und Strafverfolgung. Das Gericht ging daher davon aus, dass auch wenn bei einer personengenauen Auflösung einer Kameraüberwachung besondere Kategorien personenbezogener Daten erfasst werden können, jedenfalls dann kein Verarbeitungsverbot bestehe, wenn der Verantwortliche keine Auswertungsabsicht in Bezug auf die sensiblen Daten hat.

Ein weiteres spannendes und diskutiertes Thema rund um die Verarbeitung von besonderen Kategorien personenbezogener Daten ist die Frage, ob für die Zulässigkeit der Verwendung solcher Art. 9-Daten nur eine Ausnahme nach Art. 9 Abs. 2 DSVGO erfüllt sein muss oder zusätzlich ein Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO vorliegen muss. Zumindest die Bundesregierung ging in der Begründung zu § 22 BDSG hiervon aus: „Neben einem Ausnahmetatbestand ist im Übrigen stets erforderlich, dass eine Rechtsgrundlage für die Verarbeitung nach Artikel 6 Absatz 1 der Verordnung (EU) 2016/679 vorliegt“ (BT Drs. 18/11325). In diesem Sinne hat sich kürzlich etwa auch der EDSA im Rahmen seiner Leitlinien zu Virtuellen Sprachassistenten positioniert. Dort geht er in Rz. 81 ausdrücklich davon aus, dass neben einer Ausnahme nach Art. 9 Abs. 2 DSGVO „zusätzlich“ eine Rechtsgrundlage nach Art. 6 DSGVO vorliegen muss. Rein praktisch hat dieses Erfordernis der „doppelten Absicherung“ natürlich Auswirkungen auf die Prüfung und Dokumentation solcher Verarbeitungen.

Es wird zu den beiden oben aufgeworfenen Themen noch Rechtsprechung brauchen, bis wir am Ende Klarheit über die rechtlichen Anforderungen beim Umgang mit besonderen Kategorien personenbezogener Daten haben. Bis dahin vergeht sicher noch ein wenig Zeit, die Sie gerne mit einer Lektüre des aktuellen Heftes des Datenschutz-Berater füllen können.

Ich wünsche Ihnen hierbei viel Vergnügen.

Ihr

Dr. Carlo Piltz