DS-GVO/BDSG. David Klein
im Rahmen einer Betriebsvereinbarung die Einwilligung aller betroffenen Arbeitnehmer eingeholt wird. Auch eine derartige Datenverarbeitung zum Zwecke der Produktverbesserung dient der Gesundheitsvorsorge und ist damit nach § 22 Abs. 1 lit. b BDSG im Rahmen einer Interessenabwägung zulässig, solange der Kriterienkatalog des § 22 Abs. 2 BDSG hinreichend beachtet wird.
109
Soweit gem. § 22 Abs. 1 Nr. 1 lit. b BDSG n.F. eine Datenverarbeitung auch zulässig ist, „diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal dem Berufsgeheimnis unterliegt“ sind auch die Erfüllungsgehilfen der genannten Gesundheits- und Heilberufe erfasst.[207]
110
§ 22 Abs. 1 Nr. 1 lit. b BDSG n.F. entspricht also im Wesentlichen § 13 Abs. 2 Nr. 7 und § 28 Abs. 7 BDSG a.F. Zu Inhalt und Reichweite des Berufsgeheimnisses sowie den Geheimhaltungspflichten (vgl. die Ausführungen unter Rn. 225).
111
§ 22 Abs. 1 Nr. 1 lit. c BDSG n.F. setzt Art. 9 Abs. 2 lit. i um. Insofern macht der deutsche Gesetzgeber in zulässiger Form von der Öffnungsklausel Gebrauch, indem er ergänzend zu den in § 22 Abs. 2 BDSG n.F. genannten Maßnahmen die berufsrechtlichen und strafrechtlichen Vorgaben zur Wahrung des Berufsgeheimnisses unter den Begriff der spezifischen Schutzmaßnahmen miteinbezieht. Dadurch macht der Gesetzgeber deutlich, dass § 22 Abs. 1 Nr. 1 lit. c nicht die besonderen Vorschriften zur Einhaltung des Berufsgeheimnisses verdrängt.[208] Vielmehr ist die Vorschrift dahingehend anzuwenden, dass Personen, die einem Berufsgeheimnis unterliegen, dieses auch im Falle der Erforderlichkeit einer Datenverarbeitung einzuhalten haben.[209] Die Vorschrift soll es letztlich öffentlichen und nichtöffentlichen Stellen ermöglichen ihren gesetzlichen Produktbeobachtungspflichten nachzukommen auch wenn damit eine Verarbeitung sensibler Daten einhergeht.[210]
112
§ 22 Abs. 1 Nr. 1 lit. d wurde infolge des 2. DSAnpUG eingefügt und entspricht § 22 Abs. 1 Nr. 2 lit. a.[211] Insofern gewinnen auch nichtöffentliche Stellen einen Erlaubnistatbestand hinzu, da § 22 Abs. 1 Nr. 2 lit. a ursprünglich nur für öffentliche Stellen galt.
113
Das Erfordernis einer Interessenabwägung in § 22 Abs. 1 Nr. 1 lit. d BDSG n.F. setzt die Vorgaben aus Art. 9 Abs. 2 lit. g sachgerecht um. § 22 Abs. 1 Nr. 1 lit. d, Nr. 2 lit. a–c BDSG n.F. entsprechen dabei § 13 Abs. 1 Nr. 1, 5, 6 und 9 BDSG a.F.
114
Zunächst wird in § 22 Abs. 1 Nr. 1 lit. d BDSG n.F. das erhebliche öffentliche Interesse wiederholt. Die Verarbeitung muss demnach der Allgemeinheit als solcher und nicht einzelner partikularen oder, privaten Interessen dienen. Zudem muss das öffentliche Interesse „zwingend“ erforderlich sein. Um diese Voraussetzungen zu erfüllen, muss eine besondere Qualifikation vorliegen. Dies kann z.B. der Wahrung der Freiheitsrechte, der Wahrung der Rechtstaatlichkeit, der Strafverfolgung, der Finanzverwaltung zum Zweck der Steuergerechtigkeit, die Wahrung oder der Sicherstellung der öffentlichen Gesundheit und Gesundheitsfürsorge.[212]
115
Ein erhebliches öffentliches Interesse nach § 22 Abs. 1 Nr. 1 lit. d BDSG n.F. ist insbesondere dann anzunehmen, wenn biometrische Daten zum Zwecke der eindeutigen Identifizierung der betroffenen Person verarbeitet werden.[213] Zwar mutet der Begriff des „öffentlichen Interesses“ generalklauselartig an, wird aber gleichwohl durch das zwingende Erfordernis der Datenverarbeitung sachgerecht eingeschränkt. Zur Reichweite und Inhalt des Begriffs des öffentlichen Interesse vgl. Art. 9 Abs. 2 lit. g[214].
116
Nach § 22 Abs. 1 Nr. 2 lit. c BDSG n.F. ist aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen einer öffentlichen Stelle des Bundes auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen ebenfalls eine Verarbeitung besonderer Kategorien personenbezogener Daten zulässig.
117
Diese Erlaubnisse nach § 22 Abs. 1 Nr. 2 BDSG n.F. sind nur im Rahmen einer Interessenabwägung zulässig, da nach Art. 9 Abs. 2 lit. g die Verarbeitung in einem angemessenen Verhältnis zu dem verfolgten Zweck stehen und den Wesensgehalt des Rechts auf Datenschutz wahren muss.[215] Fallgestaltungen, bei denen das Interesse des Betroffenen in den vorgenannten Fällen überwiegt, sind nur bedingt ersichtlich. Bereits die Regelung in Art. 9 Abs. 2 lit. g, wonach bei einem erheblichen öffentlichen Interesse gleichwohl der Wesensgehalt des Datenschutzes gewahrt werden muss, ist begrifflich und auch normativ vage und bietet in Bezug auf den Datenschutz kaum einen materiellen Mehrwert.[216]
118
Die Reglung des § 22 Abs. 2 BDSG n.F. setzt die Forderung aus Art. 9 Abs. 2 lit. b, g und i um, die geeignete Garantien für die Grundrechte und die Interessen bzw. angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interesse der Betroffenen Person notwendig machen.[217] Auch § 26 Abs. 3 S. 3 BDSG n.F. verweist für individualarbeitsrechtlich notwendige Verarbeitung sensibler Daten nach Art. 9 Abs. 1 auf § 22 Abs. 2 BDSG n.F. Notwendig sind angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person. Im Rahmen einer Risikobeurteilung werden in § 22 Abs. 2 BDSG n.F. zehn spezifische technische und organisatorische Maßnahmen als Beispiele aufgeführt. Diese konkretisieren insoweit die Anforderungen an ein Datensicherheitsmanagement gem. Art. 25[218] und Art. 32[219]. Die Nennung aller Fälle des Abs. 1 zeigt insbesondere, dass es für eine datenschutzkonforme Datenverarbeitung als angemessene Schutzmaßnahme nicht ausreicht, dass die in Abs. 1 benannten Personen einer beruflichen oder gesetzlichen Geheimhaltungspflicht unterliegen.[220] Vielmehr sind unter den Voraussetzungen des Abs. 2 darüber hinausgehende Schutzmaßnahmen entsprechend den Anforderungen aus Art. 25, 32 erforderlich.[221]
2. Ausnahmen und Erlaubnisvorbehalt nach Art. 9 Abs. 2
119
Art. 9 stellt in seiner Systematik ein Verbot mit Erlaubnisvorbehalt dar.[222]
So sieht Art. 9 Abs. 2 für die dort näher konkretisierten Verarbeitungskontexte (abschließende) Ausnahmen vom Verbotsgrundsatz des Art. 9 Abs. 1 vor.
120
Mit Blick auf den