Source: https://www.dataprotect.at/2018/04/22/gesundheitsdaten/
Timestamp: 2018-05-20 11:47:37+00:00

Document:
Gesundheitsdaten - dataprotect - Informationen zum Datenschutz in Österreich und der EU (DSGVO, DSG)
Artikel 9 Abs 1 DSGVO:
Der Begriff der Gesundheitsdaten ist sehr weit. ErwG 35 beschreibt diese wie folgt:
Die Verarbeitung dieser Daten kann nur unter sehr einschränkenden Voraussetzungen erfolgen, die in Artikel 9 Abs 2 DSGVO definiert sind:
(a) ausdrückliche Einwilligung (außer dies ist nach dem Unionsrecht oder dem Recht des Mitgliedstaates nicht zulässig)
(b) arbeitsrechtliche oder sozialversicherungsrechtliche oder sozialschutzrechtliche Notwendigkeit
(e) offensichtlich von der betroffenen Person öffentlich gemachte personenbezogene Daten
(f) Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit
(h) Gesundheitsvorsorge, Arbeitsmedizin, Beurteilung der Arbeitsfähigkeit medizinische Diagnostik, Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich
Besonders bedeutsam ist, dass die Verarbeitung im Gesundheitsbereich nur durch Fachpersonal oder unter dessen Verantwortung erfolgen darf und ein Berufsgeheimnis oder eine in nationalen Vorschriften geregelte Geheimhaltungspflicht bestehen muss; besteht kein Berufsgeheimnis oder keine generelle Regelung zu einer Geheimhaltungspflicht, dann ist die Verarbeitung der Gesundheitsdaten nur zulässig, sofern eine ausdrückliche Einwilligung iSd Art 9 (2) lit a DSGVO vorliegt.
In einem wettbewerbsrechtlichen Verfahren in D unterlag nun eine Online-Apotheke, da diese für die Abwicklung der Bestellungen keine ausdrückliche Einwilligung der Kunden einholte:
„Die Veräußerung apothekenpflichtiger Produkte durch den Beklagten über die Internethandelsplattform Amazon verletzt datenschutzrechtliche Vorschriften des BDSG und damit zugleich berufsrechtliche Vorschriften. Der Kunde gibt bei einer Bestellung von apothekenpflichtigen Medikamenten über die Internetplattform xxxxxxxxx personenbezogene Daten an. Gemäß § 3 Abs. 1 BDSG sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse. Gemäß § 3 Abs. 9 BDSG sind besondere Arten personenbezogener Daten (sog. sensitive Daten) Angaben, u. a. über die Gesundheit. Als besondere Arten personenbezogener Daten über die Gesundheit werden Angaben über einzelne Krankheiten, Abläufe und Inhalte der medizinischen Behandlung und eingenommene Medikamente erfasst. Direkte oder aber auch indirekte Angaben zu diesen Kategorien genügen. Alle Angaben, die direkt oder indirekt Informationen zu den in § 3 Abs. 9 BDSG angesprochenen Datenkategorien vermitteln gehören zu den sensitiven Daten. Auf die Korrektheit der Schlüsse, die sie nahelegen, kommt es nicht an (Simitis, BDSG, 8. Auflage, § 3 Rn. 263 m. w. N.).
Denn wenn es sich um besondere Arten personenbezogener Daten handelt, bedarf es zur Verarbeitung und Erhebung gemäß § 4 Abs. 1 BDSG der vorherigen Einwilligung durch den Betroffenen. Eine solche Einwilligung muss sich gemäß § 4 a Abs. b 3 BDSG neben der allgemeinen Einwilligung zur Datenverarbeitung ausdrücklich auf diese Daten beziehen. D. h. der Einwilligung muss zu entnehmen sein, um welche der in § 3 Abs. 9 BDSG aufgezählten Kategorien es sich im Einzelnen handelt und in welchem Kontext sie unter welchen Bedingungen für welche Zwecke verwendet werden sollen. Daran fehlt es hier. Der Beklagte selbst verlangt eine solche konkrete Einwilligung von den Kunden nicht. Er trägt auch nicht vor, dass er sie über die Handelsplattform xxxxxx bekommt. Die Einwilligung der Kunden in die Datenverarbeitung über die AGB von xxxxxxx sieht eine solche, auf besondere Arten personenbezogener Daten konkretisierte Einwilligung über die Datenverarbeitung ebenfalls nicht vor.
§ 28 Abs. 7 BDSG macht aber den Zugang zu den Daten noch von einer zweiten Bedingung abhängig. Sie müssen durch Personen verarbeitet werden, die der ärztlichen oder einen entsprechenden Geheimhaltung unterliegen. § 28 Abs. 7 BDSG sieht in der Geheimhaltungspflicht den Maßstab, der an jede Verwendungsabsicht anzulegen ist, sie bestimmt und begrenzt den Verarbeitungs- und Übermittlungsspielraum. Sie legt damit zugleich den potenziellen Empfänger fest (Simitis, § 28 Rn. 315 ff.). Daraus aber ergibt sich auch, dass der beanstandete Vertriebsweg diesem Erfordernis nicht gerecht wird.
Der Beklagte persönlich gehört zu dem der Geheimhaltungspflicht unterliegenden Personenkreis. Er ist berechtigt, bei einer fehlenden Einwilligung des Kunden die sensitiven Daten zu erheben und zu verarbeiten, denn für ihn als Apotheker und damit der Geheimhaltung unterliegenden Person greift der Ausnahmetatbestand des § 28 Abs. 7 BDSG ein. Das gilt aber nicht, soweit der Kunde – wie auch vom Beklagten beschrieben – seine Daten, auch die sensitiven Daten beim Bestell- und Auswahlvorgang bei xxxxxx angeben muss. Der Kunde gibt seine Daten zunächst an xxxxxxxx. Von dort werden sie – so trägt es der Beklagte vor – dann an den ausgewählten Verkäufer, wie z. B. den Beklagten, weitergeleitet. xxxxxxx aber unterliegt nicht den Geheimhaltungsregelungen, die den Ausnahmetatbestand des § 28 Abs. 7 BDSG eröffnen und ist auf dieser Grundlage nicht berechtigt, die Daten zu erheben. Dort ist der Ausnahmetatbestand für die Erhebung der Daten nicht eröffnet. Durch diesen Vertriebsweg, über den der Beklagte unter Einschaltung der Handelsplattform xxxxxx seine apothekenpflichtigen Medikamente vertreibt, kommen Personen mit gesundheitsbezogenen Daten in Kontakt, die nicht der besonderen Verschwiegenheits- und Geheimhaltungspflicht eines Apothekers unterliegen und die in den Organisationsablauf seiner Apotheke nicht eingebunden sind. Dadurch werden sowohl die datenschutzrechtlichen Vorschriften aber auch die Vorschriften des Apothekengesetzes und der Apothekenbetriebsordnung verletzt.“
Wenn daher Daten im Rahmen der Gesundheitsvorsorge nicht durch Fachpersonal mit Berufsgeheimnis/gesetzlicher Verschwiegenheitspflicht verarbeitet werden, dann bedarf es der ausdrücklichen Einwilligung. Dies ist zB bei Optikern der Fall, denn diese können sich nicht auf eine Regelung zum Berufsgeheimnis / zur Verschwiegenheit berufen, oder auch bei Versicherungsvermittlern, -agenten oder –maklern, insbes. wenn diese außerhalb der Kranken- oder Unfallversicherung (Art 9 (2) h) oder bei der Durchsetzung von schadenersatzrechtlichen Ansprüchen (Art 9 (2) f) erfolgt.
tagPlaceholderTags: Einwilligung, Gesundheitsdaten, Versicherung, Art 9, ausdrückliche Einwilligung, Gesundheitsvorsorge, Optiker, Apotheke

References: § 3
 § 3
 § 3
 § 3
 § 4
 § 4
 § 3

§ 28
 § 28
 § 28
 § 28
 § 28