Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich verboten und nur erlaubt, wenn eine Ausnahme nach Art. 9 Abs. 2 DSGVO greift, etwa die medizinische Behandlung, arbeitsrechtliche Pflichten oder eine ausdrückliche Einwilligung. Zusätzlich brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO und besondere Schutzmaßnahmen nach § 22 Abs. 2 BDSG.
Was sind Gesundheitsdaten?
Gesundheitsdaten sind alle Daten über die körperliche oder geistige Gesundheit einer Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, aus denen Informationen über den Gesundheitszustand hervorgehen (Art. 4 Nr. 15 DSGVO, EG 35). Dazu zählen:
- Diagnosen, Befunde, Laborwerte, Arztbriefe, Patientenakten
- Medikamente und Verordnungen, auch Bestellungen apothekenpflichtiger Arzneimittel (EuGH, 04.10.2024, C-21/23)
- Arbeitsunfähigkeitszeiten, Schwerbehinderung, Ergebnisse von Drogen- oder Alkoholtests
- Daten aus Fitness-Trackern und Gesundheits-Apps, soweit sie Rückschlüsse auf die Gesundheit erlauben
- Angaben wie Allergien, Brillenstärke oder Schwangerschaft
Die wichtigsten Ausnahmen nach Art. 9 Abs. 2 DSGVO
- lit. a, ausdrückliche Einwilligung: klar, gesondert und für einen festgelegten Zweck.
- lit. b, Arbeits- und Sozialrecht: für Arbeitgeber, konkretisiert durch § 26 Abs. 3 BDSG.
- lit. h, Gesundheitsvorsorge und Versorgung: für Arztpraxen, Kliniken, Pflegedienste und Therapeuten, konkretisiert durch § 22 Abs. 1 Nr. 1 lit. b BDSG. Die Verarbeitung erfolgt durch Fachpersonal, das einer Geheimhaltungspflicht unterliegt (Art. 9 Abs. 3 DSGVO).
- lit. i, öffentliche Gesundheit: etwa beim Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren.
- lit. j, Forschung: unter den Voraussetzungen des § 27 BDSG.
Art. 9 und Art. 6 DSGVO gelten nebeneinander. Eine Arztpraxis stützt sich etwa auf Art. 9 Abs. 2 lit. h und Art. 6 Abs. 1 lit. b DSGVO (Behandlungsvertrag).
Pflichtmaßnahmen nach § 22 Abs. 2 BDSG
Wer Gesundheitsdaten verarbeitet, trifft angemessene und spezifische Maßnahmen. Das Gesetz nennt unter anderem:
- Maßnahmen, mit denen sich nachträglich prüfen lässt, ob und von wem Daten eingegeben, verändert oder entfernt wurden,
- Sensibilisierung der Beschäftigten,
- Benennung eines Datenschutzbeauftragten,
- Beschränkung des Zugangs,
- Pseudonymisierung und Verschlüsselung,
- regelmäßige Überprüfung der Maßnahmen.
Kommunikation per E-Mail und Messenger
Für E-Mails mit Gesundheitsdaten verlangen die Aufsichtsbehörden wegen des hohen Risikos grundsätzlich eine Ende-zu-Ende-Verschlüsselung oder einen anderen sicheren Übermittlungsweg (DSK, Orientierungshilfe E-Mail-Verschlüsselung). Consumer-Messenger wie private WhatsApp-Konten sind für Patientendaten ungeeignet. Nutzen Sie Dienste mit Auftragsverarbeitungsvertrag, Ende-zu-Ende-Verschlüsselung und zentraler Verwaltung.
Weitere Pflichten
- Datenschutz-Folgenabschätzung: bei umfangreicher Verarbeitung von Gesundheitsdaten erforderlich (Art. 35 Abs. 3 lit. b DSGVO). Die einzelne Arztpraxis verarbeitet nach EG 91 DSGVO in der Regel nicht umfangreich.
- Datenschutzbeauftragter: Pflicht, wenn die umfangreiche Verarbeitung von Gesundheitsdaten Ihre Kerntätigkeit ist (Art. 37 Abs. 1 lit. c DSGVO). In Deutschland zusätzlich nach § 38 BDSG, in der Regel ab 20 Personen, die ständig mit der automatisierten Verarbeitung beschäftigt sind.
- Berufsgeheimnis: Ärzte, Therapeuten und ihre Gehilfen unterliegen zusätzlich der Schweigepflicht (§ 203 StGB). Dienstleister wie IT-Betreuer müssen zur Verschwiegenheit verpflichtet werden.
- Verzeichnis: keine Erleichterung für kleine Unternehmen (Art. 30 Abs. 5 DSGVO).
Gesundheitsdaten beim Arbeitgeber
Arbeitgeber erhalten die Arbeitsunfähigkeit und ihre Dauer, nicht die Diagnose. Beim betrieblichen Eingliederungsmanagement (§ 167 Abs. 2 SGB IX) ist die Zustimmung der Beschäftigten Voraussetzung. Die Unterlagen sollten getrennt von der Personalakte geführt werden, Zugriff haben nur wenige Personen.
Checkliste
- Gesundheitsdaten im Verzeichnis kennzeichnen, Ausnahme nach Art. 9 Abs. 2 DSGVO dokumentieren.
- Berechtigungskonzept mit engem Zugriff.
- Verschlüsselte Kommunikation festlegen.
- Beschäftigte schulen und zur Verschwiegenheit verpflichten.
- Prüfen, ob eine DSFA oder ein Datenschutzbeauftragter erforderlich ist.