DS-GVO/BDSG. David Klein
In praktischer Hinsicht ist insbesondere die Frage relevant, ob auch Dating-Apps oder Dating-Seiten Informationen über die sexuelle Orientierung des Nutzers preisgeben und damit den Anforderungen von Art. 9 unterliegen. Die Dating-App Tinder lässt sich bspw. vor der Nutzung das Recht einräumen, etwa Facebook-Likes, Tinder-Chats und Instagram-Bilder auszuwerten. Anhand dieser Einstellungen liefert die App dann den scheinbar perfekten Partner. Aus diesen Angaben und dem Nutzerverhalten lassen sich zweifellos Rückschlüsse auf die sexuelle Orientierung des Nutzers ziehen. So gibt doch die Frage, ob sich ein Nutzer bei Tinder oder bei Grinder anmeldet Aufschluss über dessen Hetero- oder Homosexualität. Die Möglichkeit der Erstellung von Fake-Profilen im Rahmen der Apps reicht dabei nicht aus, um die hinreichende Wahrscheinlichkeit hinsichtlich der Möglichkeit aussagekräftige Rückschlüsse zu ziehen, zu entkräften. Folglich sind auch solche Daten als Daten zur sexuellen Orientierung zu bewerten und unterfallen Art. 9.
g) Bezüge zum BDSG n.F. – Kommentierung § 22 BDSG n.F. – Verarbeitung besonderer Kategorien personenbezogener Daten
103
Der Gesetzgeber hat im Zuge der DS-GVO das Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und Umsetzungsgesetz – DSAnpUG)[194] verabschiedet. Es trat zusammen mit der DS-GVO am 25. Mai 2018 in Kraft. Teil des DSAnpUG ist in Art. 1 ein neues BDSG (im Folgenden BDSG n.F.). Ende 2019 hat der Gesetzgeber durch das 2. DSAnpUG unter anderem § 22 BDSG mit Wirkung zum 26.11.2019 geändert.[195]
104
§ 22 BDSG n.F. regelt die Verarbeitung besonderer Kategorien personenbezogener Daten. Dabei macht er von den Öffnungsklauseln des Art. 9 Abs. 2 lit. b (durch § 22 Abs. 1 Nr. 1 lit. a BDSG n.F.), Art. 9 Abs. 2 lit. g (durch § 22 Abs. 1 Nr. 1 lit. d, Nr. 2 lit. a–c BDSG n.F.), Art. 9 Abs. 2 lit. h i.V.m. Abs. 3 (durch § 22 Abs. 1 Nr. 1 lit. b BDSG n.F.) sowie des Art. 9 Abs. 2 lit. i (durch § 22 Abs. 1 Nr. 1 lit. c BDSG n.F.) Gebrauch.[196]
105
§ 22 Abs. 1 BDSG n.F. legt die Voraussetzungen fest, unter denen die Verarbeitung besonderer Kategorien personenbezogener Daten ausnahmsweise zulässig sein kann. Hierbei ist zu berücksichtigen, dass § 22 Abs. 1 Nr. 1 BDSG n.F. öffentliche und nichtöffentliche Stellen erfasst, während § 22 Abs. 1 Nr. 2 BDSG n.F. nur die öffentlichen Stellen nennt.[197]
106
Die Regelung des § 22 Abs. 1 Nr. 1 lit. a BDSG n.F. schafft die Voraussetzungen, dass die Verarbeitung des Verantwortlichen zur Erfüllung der in Deutschland geltenden sozial- und sozialversicherungsrechtlichen Pflichten unverändert fortgeführt werden können. Neben der Regelung im BDSG n.F. können auch die in den Gesundheits- und Sozialgesetzen geregelten Datenverarbeitungen eine entsprechende Rechtsgrundlage bilden.[198] Die datenschutzrelevanten Vorschriften des SGB sind mit Blick auf die DS-GVO novelliert worden.
107
Inhaltlich entspricht § 22 Abs. 1 Nr. 1 lit. a BDSG n.F. dem Regelungsgehalt des Art. 9 Abs. 2 lit. b. Insofern ergeben sich keine Abweichungen. Zwar wird deshalb teilweise[199] ein Verstoß gegen das europarechtliche Normwiederholungsverbot diskutiert. Gleichwohl übersieht eine derartige Betrachtung, dass laut ErwG 8 die Mitgliedstaaten Teile der DS-GVO in ihr nationales Recht aufnehmen können, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften verständlicher zu machen. Insofern ist die punktuelle Wiederholung einzelner Passagen der DS-GVO zulässig.[200] Seinem Ausgestaltungs- und Konkretisierungsauftrag kommt der Gesetzgeber dabei durch den Erlass bereichsspezifischer Datenschutzregelungen nach. Insofern hindert die Wiederholung die unmittelbare Wirkung der Verordnung nicht. Der deutsche Gesetzgeber hat daher in zulässiger Weise von der Öffnungsklausel Gebrauch gemacht. [201] In praktischer Hinsicht findet § 22 Abs. 1 Nr. 1 lit. a etwa bei Datenverarbeitungen durch öffentliche oder nichtöffentliche Stellen Anwendung, z.B. um Rechte im Bereich des Sozialschutzes geltend zu machen oder auszuüben.[202] Zu beachten ist aber, dass entsprechend § 1 Abs. 2 BDSG das bereichsspezifische Datenschutzrecht des SGB den Regelungen des BDSG vorgeht.[203]
108
§ 22 Abs. 1 Nr. 1 lit. b BDSG n.F. stellt eine Umsetzung von Art. 9 Abs. 2 lit. h i.V.m. Art. 9 Abs. 3 dar. Dabei wurde auf eine explizite Nennung der Arbeitsmedizin verzichtet, da der Begriff der Gesundheitsvorsorge den Begriff der arbeitsmedizinischen Vorsorge umfasst.[204] Darüber hinaus wurde auf die Aufnahme der Arbeitsmedizin verzichtet, da es in Deutschland keine Verarbeitung von sensiblen Daten zu Zwecken besonderer Facharztrichtungen (z.B. der Arbeitsmedizin) gibt. Die Verarbeitung erfolgt vielmehr jeweils anhand ihrer entsprechenden Zwecke, die sich aus § 22 Abs. 1 Nr. 1 lit. b BDSG n.F. unmittelbar ergeben. Mit der vom deutschen Gesetzgeber gewählten Formulierung wird folglich klargestellt, dass mit § 22 Abs. 1 Nr. 1 lit. b BDSG n.F. in erster Linie der Behandlungsvertrag gem. §§ 630a ff. BGB, gemeint ist.[205] Daher findet die Vorschrift vor allem in der Humanmedizin, also für (Zahn-)Ärzte, Psychotherapeuten oder Kinder- und Jugendlichenpsychotherapeuten Anwendung. Darüber hinaus werden vom Behandlungsvertrag auch Angehörige anderer Heilberufe, deren Ausbildung nach Art. 74 Abs. 1 Nr. 19 GG durch Bundesgesetz (Hebammen, Masseure und medizinische Bademeister, Ergotherapeuten, Logopäden, Physiotherapeuten u.a.) geregelt ist, oder Heilpraktiker erfasst.[206] Ein weiteres Anwendungsfeld von § 22 Abs. 1 lit. b BDSG ergibt sich zudem im Rahmen der Tätigkeit von Krankenkassen. Sofern diese Abrechnungsdaten von Ärzten, etwa in Gestalt eingereichter Rechnungen für Prothesen, erhalten und die Krankenkasse diese Daten in einer Datenbank sammelt und dahingehend auswertet, ob sich Rückschlüsse im Hinblick auf die Qualität der Prothesen ermitteln lassen, so dient diese Maßnahme der Produktverbesserung letztlich ebenfalls der Gesundheitsvorsorge und ist abweichend vom Verbotsgrundsatz des Art. 9 Abs. 1 nach § 22 Abs. 1 lit. b BDSG im Rahmen einer Interessenabwägung zulässig. Zu beachten ist allerdings, dass entsprechend der Vorgaben nach § 22 Abs. 2 BDSG angemessene Maßnahmen zum Schutz der Daten der betroffenen Person vorzusehen sind. Dies kann unter anderem dadurch erreicht werden, dass die personenbezogenen Daten, die sich aus den Abrechnungen ergeben, entsprechend den Vorgaben aus § 22 Abs. 2 Nr. 7 BDSG nach Art. 4 Nr. 5 pseudonymisiert werden und nur ein Notar den Schlüssel für eine Reidentifikation besitzt. Die Vorschrift findet damit auch Anwendung auf Medizingerätehersteller (etwa von Beatmungsanlagen oder Insulinpumpen), die zur Vorhersage und Minimierung von Fehlerquellen im Rahmen der Produktentwicklung Daten, die sich aus Wartungsarbeiten oder der Herstellung ergeben, auswertet und im Hinblick darauf überprüft, ob diese Daten Rückschlüsse auf mögliche Fehlerquellen und Verbesserungen im Rahmen des Herstellungsprozesses zulassen. Gerade sofern im Rahmen einer Arbeitskontrolle auch Beschäftigtendaten nach Art. 88