Source: https://regina-stoiber.com/2019/07/19/summary-dsk-papier-nr-17-besondere-kategorien-personenbezogener-daten/
Timestamp: 2020-02-22 12:52:11+00:00

Document:
Summary DSK-Papier Nr. 17: Besondere Kategorien personenbezogener Daten | Datenbeschützerin Regina Stoiber
Home › Datenschutz › Summary DSK-Papier Nr. 17: Besondere Kategorien personenbezogener Daten
Fallen Lichtbilder unter biometrische Daten?
Was bedeutet das Verbot mit Erlaubnisvorbehalt bei besonders schützenswerten Daten?
Anmerkungen der Datenbeschützerin
Wer darf konkret die Daten in Bezug auf die Gesundheitsvorsorge verarbeiten?
Wer benötigt eine Einwilligung der Betroffenen?
Was ist bei der Datenverarbeitung besonderer Kategorien personenbezogener Daten zu beachten?
Was müssen die Mitarbeiter bei der Datenverarbeitung beachten?
In der DSGVO werden in Art. 9 folgende Kategorien von Daten genannt, welche besonders schützenswerte sind:
Angaben über rassische und ethnische Herkunft
Gesundheitsdaten (auch z.B. Medikamenteneinnahme)
genetische Angaben
Es fallen darunter alle Daten, die sich aus den genannten Datenkategorien direkt oder indirekt ergeben.
Sogenannte mittlere Angaben fallen jedoch nicht unter besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Darunter versteht man zum Beispiel:
bloßer Alkoholkonsum im Gegensatz zu einer Alkoholabhängigkeit
geographischer Geburtsort gibt keine Auskunft über rassische oder ethnische Herkunft
einmaliger Besuch einer Kirche/Gebetsstätte lässt keine Rückschlüsse auf die Religionszugehörigkeit ziehen
Lichtbilder sind als biometrische Daten und dadurch als besonders schützenswert anzusehen, wenn:
diese mit technischen Mitteln verarbeitet werden
die Identifizierung oder Authentifizierung dadurch ermöglicht wird
Grundsätzlich dürfen Daten nach Art. 9 DSGVO nicht verarbeitet werden. Das heißt, die Verarbeitung ist verboten.
Die Datenverarbeitung ist jedoch unter bestimmten Voraussetzungen des Art. 9 Abs. 2 DSGVO erlaubt. Ebenfalls ist die Verarbeitung erlaubt, wenn eine Einwilligung des Betroffenen vorliegt.
Konkreter Erlaubnistatbestand liegt in folgenden Fällen vor:
Erforderliche Ausübung von Rechten und Pflichten aus dem Arbeits- oder Sozialrecht
Erforderlicher Schutz lebenswichtiger Interessen einer Person und wenn diese außerstande ist, einzuwilligen
Auf Grundlage geeigneter Garantien durch eine politische, weltanschauliche, religiöse oder gewerkschaftliche Stiftung/Vereinigung/Organisation ohne Gewinnerzielungsabsicht
Durch den Betroffenen öffentlich zugänglichgemachte Daten
Rechtsverfolgung oder Aufgabenerfüllung der Gerichte
Auf Grund des erforderlichen öffentlichen Interesses oder öffentlichen Interesses des Gesundheitsschutzes
Zur Gesundheitsvorsorge, Behandlung durch Berufsgeheimnisträger oder Angehörigen Gesundheitsberufs
Öffentliche Interesse liegende Archivzwecke, wissenschaftliche Forschungszwecke, statistische Zwecke
Eine Auflistung über die Gesundheitsberufe ist auf der Webseite des Bundesministeriums für Gesundheit einsehbar.
Das BayLDA nimmt in seinem 8. Tätigkeitsbericht zu dieser Thematik kurz Stellung.
Hinweis der Datenbeschützerin: Aktuell wird seitens der Aufsichtsbehörde Bayern geprüft, in welchem Umfang und welche Arten von Gesundheitsdaten bei Freizeitmaßnahmen von Kindern erhoben werden dürfen.
Automatisierte Entscheidungsfindungen sind nur mit Einwilligung des Betroffenen zulässig oder
aufgrund eines erheblichen öffentlichen Interesses oder
durch eine spezielle Rechtsgrundlage.
Der Verantwortliche hat spezielle Maßnahmen zur Wahrung der Interessen der betroffenen Person zu treffen (§ 37 Abs. 2 i.V.m § 22 BDSG-neu)
Die Verarbeitung muss im Verfahrensverzeichnisses dokumentiert sein.
Bei umfangreicher Verarbeitung ist regelmäßig eine DSFA durchzuführen.
Die Bestellung eines Datenschutzbeauftragten ist bei umfangreicher Verarbeitung nötig.
Die Verarbeitung durch den Mitarbeiter darf durchgeführt werden, wenn ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO (siehe ausführliche Auflistung weiter oben) erfüllt ist.
Eine Geheimhaltungspflicht mit dem Mitarbeiter, der die Verarbeitung durchführt, ist zwingende Voraussetzung für die Verarbeitung.
Empfehlung der Datenbeschützerin:
Die Mitarbeiter sollten regelmäßig durch eine Mitarbeiterschulung sensibilisiert werden. Des Weiteren sollten die Vorgaben seitens des Verantwortlichen (z.B. Arbeitsanweisung/Betriebsvereinbarung) und die daraus resultierende Arbeitsweise geprüft werden. Abweichungen von den Vorgaben sind zu dokumentieren und die Mitarbeiter zu sensibilisieren.
DSK Kurzpapier Nr. 17 – besonders schützenswerte DatenHerunterladen

References: Art. 9
 Art. 9
 Art. 9
 Art. 9
 § 22
 Art. 9