Datenschutzgrundverordnung für Dummies. Christian Szidzek

Datenschutzgrundverordnung für Dummies

Auch biometrische Daten zählen zu den besonderen Kategorien personenbezogener Daten. Die Verordnung hält auch für biometrische Daten eine Legaldefinition bereit (Art. 4 Nr. 14 DSGVO).

Biometrische Daten sind mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten.

Unter dem Begriff Biometrie versteht man die Wissenschaft von Körpermessungen am Lebewesen. Die hierbei eingesetzten Verfahren nutzen Merkmale, die individuell und messbar sind (Charakteristika). Dazu gehören physiologische Merkmale, wie der Fingerabdruck, das Gesichtsbild, das Muster der Iris oder verhaltensbedingte Merkmale wie Schreibverhalten, Lippenbewegungen oder die Stimme. Die Messungen dienen dabei zur Identifizierung von Personen. Bei biometrischen Verfahren werden die individuellen Charakteristika von Personen vermessen und mittels eines Algorithmus in einen Datensatz umgewandelt und gespeichert. Bei einer Identitätsprüfung werden dann die von der betroffenen Person aktuell aufgenommenen und umgerechneten Werte mit den gespeicherten Werten abgeglichen. Die geläufigsten Verfahren sind statische Verfahren, die unveränderliche Merkmale des menschlichen Körpers ermitteln und einer Person zuordnen. Hierzu gehören. die Fingerabdruckerkennung, bei der die Oberflächenbeschaffenheit und das hierauf vorhandene Muster der Finger untersucht wird, die Gesichtserkennung, die die charakteristischen Merkmale des Gesichts auswertet, die Augenerkennung (Muster der Iris), bei der ein Bild des Auges angefertigt wird und daraus die charakteristischen Merkmale der Iris ermittelt werden. Daneben gibt es die Venenerkennung, die die Lage und Verzweigung der Venen unter der Haut ermittelt, und vieles mehr.

Biometrie ermöglicht damit eine Überwachung von Menschen in einem bisher unerreichten Ausmaß. Gerade die Entwicklung in China in den letzten Jahren (Stichwort Social Credits) sollte uns allen zu denken geben. Das Ausmaß an Überwachung, das dort bereits jetzt vorherrscht, macht Privatsphäre allenfalls zur Utopie. Bei all den Ressentiments gegenüber dem Aufwand, der mit der Umsetzung der Vorgaben der DSGVO verbunden ist, sollte man nicht vergessen, was passieren könnte ohne den Schutz, der mit den Vorschriften der DSGVO für uns alle verbunden ist.

In der Praxis ist der Umgang mit Fotografien immer wieder von Bedeutung. Oft geht es um die Frage der Zulässigkeit, Fotos von Mitarbeitern für werbliche Zwecke des Unternehmens zur Verfügung zu stellen. Je nach Beschäftigungsart kann sich die Erlaubnis einerseits aus dem Gesetz (Vertrag, Art. 6 Abs. 1 b)) oder der wirksamen Einwilligung von Mitarbeitern ergeben. Je nachdem ob die Fotografie als biometrisches Datum oder als einfaches personenbezogenes Datum zu qualifizieren ist, sind an die Zulässigkeit und die technischen und organisatorischen Maßnahmen dabei unterschiedliche Anforderungen geknüpft. So sollen etwa Lichtbilder im Rahmen des neuen Personalausweises und Reisepasses als biometrische Daten gelten, aber Fotos auf Unternehmensausweisen, die lediglich der Sichtkontrolle dienen, nicht darunterfallen. Erwägungsgrund 51 erläutert in diesem Zusammenhang, dass Lichtbilder nur dann von dem Begriff der biometrischen Daten erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer Person ermöglichen.

Gesundheitsdaten

Auch Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO). Die DSGVO hält eine Definition des Begriffs der Gesundheitsdaten bereit (Art. 4 Nr. 15).

Gesundheitsdaten sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

In erster Linie sind damit Diagnosen gemeint, also ärztliche Aussagen über Ihren Gesundheitszustand. Der Begriff der Gesundheit umfasst dabei aber nicht nur physische Krankheiten, sondern auch psychische Erkrankungen und insbesondere auch Informationen über Drogen- oder Alkoholmissbrauch.

Die Krankschreibung durch den Arzt, wonach der Beschäftigte arbeitsunfähig erkrankt ist (AU-Bescheinigung), stellt für sich genommen noch keine Angabe über die Gesundheit dar. Erst die Diagnose selbst ist als Angabe zu Ihrer Gesundheit zu verstehen.

Informationen zum Sexualleben oder der sexuellen Orientierung

Auch Informationen über das Sexualleben und die sexuelle Orientierung fallen unter die besonderen Kategorien personenbezogener Daten. Um welche Daten es sich hier handelt, wissen Sie selbst wahrscheinlich am besten.

Unangemessene Fragen

Versuchen Sie sich doch einmal an der Beantwortung der nachfolgenden Fragen! Gerne dürfen Sie zurückblättern und sich die Lösung erschummeln. Lösungsvorschläge erhalten Sie im Anschluss unter der vielversprechenden Überschrift Lösungen.

Frage 1:

Welche der genannten Daten sind personenbezogene Daten?

1 Unternehmenslogo der Alpha-Centauri-Bank

2 IP-Adresse Ihrer Mitarbeiter

3 Personalnummer Ihrer Mitarbeiter

4 Vermögensverhältnisse Ihres Nachbarn

5 Vermögensverhältnisse der Alpha-Centauri-Bank

6 Allgemeines Funktionspostfach ([email protected])

7 Mitarbeiterpostfach ([email protected])

8 Projektdaten

9 Anzahl der Beschäftigten der Alpha-Centauri-Holding

10 Ihre dienstliche Anschrift

11 Fotografie Ihres Hundewelpen

12 Fotografie Ihres Chefs (älter als Ihr Hundewelpe, aber auch süß)

13 Statistische Auswertungen (werden öfter süße Chefs oder süße Hundebabys fotografiert?)

14 Kreditkartendaten

Frage 2:

Was gefällt Ihnen an der DSGVO am besten?

Frage 3:

Sie sind Arzt. Sie haben gehört, dass die Pseudonymisierung von personenbezogenen Daten ein bevorzugtes Mittel der DSGVO ist, um den Datenschutz sicherzustellen. Aus diesem Grund geben Sie Ihren Mitarbeitern die Anweisung, Patienten künftig nicht mehr mit ihrem Namen aufzurufen, sondern stattdessen anhand der jeweiligen Diagnose Was sagt die Datenschutzaufsicht dazu?

1 Großartig gemacht! So stellen wir uns das vor!

2 Wir empfehlen Ihnen, die Diagnose durch Beschreibung konkreter Symptome etwas näher zu spezifizieren.

3 Gegen Sie wird eine Geldbuße verhängt in Höhe von 5 Fantastiliarden.

Lösungsvorschläge

Lösung Frage 1: (personenbezogene Daten)

Als alter Streber haben Sie natürlich wieder einmal alles gewusst. Aber das ist nicht das letzte Kapitel in diesem Buch! Richtig sind selbstverständlich b, c, d, g, j, l und n. Nicht, dass wir nicht alle gerne süßen Hundebabys ein Persönlichkeitsrecht

Скачать книгу

Datenschutzgrundverordnung für Dummies. Christian Szidzek