Auch in der DS-GVO gibt es weiterhin besonders schutzwürdige Daten, die als besondere Kategorien personenbezogener Daten unter anderem in Art. 9 DS-GVO besonderen Regeln unterworfen sind. In einigen Punkten wird sich der Datenschutz sogar noch verschärfen. Das BayLDA stellt in seinem Whitepaper hierzu in Kürze dar, welche Regeln hier künftig zusätzlich zu beachten sind.
ART. 9 ABS. 1
Art. 9 Abs. 1 DS-GVO ist hier quasi die neue Definition besonderer Kategorien personenbezogener Daten. Im Wesentlichen hat sich zu § 3 Abs. 9 BDSG nicht all zu viel geändert. Was neu hinzukommt sind zum Einen genetische
und zum Anderen biometrische Daten zur eindeutigen Identifizierung einer Person. Genetische Daten fielen bisher wohl unter Gesundheitsdaten, biometrische Daten hingegen waren bis dato nicht klar zuzuweisen. Wie wichtig diese sind, kann man aber schon bei Pass und Personalausweis sehen und auch moderne Smartphones haben Fingerabdruck-Leser zur Identifikation.
HÖHERES SCHUTZNIVEAU
Bei einer umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten muss laut DSGVO ein Datenschutzbeauftragter bestellt (Art. 37 Abs. 1 b DS-GVO) und eine Datenschutz-Folgenabschätzung (Art. 35 Abs. 3 b DSGVO) durchgeführt werden. Das Papier stellt klar: „Auch eine automatisierte Entscheidung auf Grundlage von besonderen Kategorien personenbezogener Daten ist nur unter besonders engen Voraussetzungen möglich (Art. 22 Abs. 4 DSGVO).“
ERLAUBNISTATBESTÄNDE
Art. 9 Abs. 2 a – j DS-GVO nennt etliche Erlaubnistatbestände, die definieren, unter welchen Voraussetzung eine Verarbeitung dieser Daten ausnahmsweise möglich wird. Hier ändert sich nichts: Entweder benötigt man hierfür eine Einwilligung des Betroffenen oder es gibt eine anderen rechtlichen Grundlage, die es erlaubt.
Im Gesundheitswesen sind hier vor allem Abs. 2 h und Abs. 3 nennenswert: „Solange – vereinfacht gesagt – Berufsgeheimnisträger zur Erfüllung ihrer Aufgaben im Gesundheitswesen mit besonderen Kategorien personenbezogener Daten umgehen, ist dies nach wie vor zulässig.“. Die Einwilligung kann darüber hinaus auch explizit als Erlaubnistatbestand ausgeschlossen werden. Das BayLDA rät hier abzuwarten „ob und wie der europäische oder nationale Gesetzgeber Regelungen trifft, wann eine Einwilligung in die Verarbeitung dieser Daten unwirksam ist.“