Digitalisierung – juristische Aspekte

Demgegenüber beziehen sich Informationen auf eine identifizierbare natürliche Person, wenn die Information die Person mittelbar, also durch Hinzunahme weiterer Informationen, identifiziert (z. B. ist die Telefonnummer regelmäßig nur mittelbar zur Identifizierung von Personen geeignet, weil es dafür der Zusatzinformation bedarf, wer Inhaber des Anschlusses ist). Wenn eine Information weder unmittelbar noch mittelbar eine natürliche Person identifiziert, unterliegt diese Information keinen datenschutzrechtlichen Bindungen, d. h. diese Information kann verarbeitet werden, ohne dass das Datenschutzrecht beachtet werden muss. Dies ist zum Beispiel immer dann der Fall, wenn Informationen über mehrere Personen zusammengefasst (aggregiert) werden, etwa im Rahmen von Statistiken (z. B. Anzahl der Patienten mit einem bestimmten HbA1c-Wert in einer Praxis). Allerdings setzt dies voraus, dass die Anzahl der Personen, deren Daten aggregiert werden, so groß ist, dass ein Rückschluss auf die einzelne Person nicht mehr möglich ist. Wenn z. B. in der HbA1c-Statistik nur zwei Patienten einen bestimmten HbA1c-Wert haben, ist eine mittelbare Identifizierbarkeit regelmäßig gegeben, so dass weiterhin datenschutzrechtliche Vorgaben zu beachten sind. Bei der Prüfung, ob es sich um „personenbezogene Daten“ handelt, ist besondere Vorsicht anzuraten. Denn ein irrtümlicher Ausschluss des Personenbezugs von Daten führt regelmäßig zur Nichteinhaltung datenschutzrechtlicher Vorgaben und damit zu einer rechtswidrigen Datenverarbeitung. Daher sollte im Zweifel immer von einem Personenbezug von Daten ausgegangen werden.

Verarbeitung personenbezogener Daten

Das Datenschutzrecht knüpft weiter an den Begriff der „Verarbeitung“ personenbezogener Daten an. In der Praxis ist immer wieder zu beobachten, dass der Begriff der „Verarbeitung“ zu eng interpretiert wird. Eine „Verarbeitung“ im datenschutzrechtlichen Sinn umfasst jedoch jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten (Art. 4 Nr. 2 ­DSGVO). Darunter fällt z. B. das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Es handelt sich also um einen weitgefassten Begriff, der jeden Umgang mit personenbezogenen Daten umfasst. Derjenige, der über die Zwecke und Mittel der Verarbeitung bestimmt, ist der „Verantwortliche“ und damit verpflichtet, die datenschutzrechtlichen Vorgaben umzusetzen und einzuhalten (Art. 4 Nr. 7 DSGVO).

Erlaubnistatbestände

Jede Verarbeitung personenbezogener Daten ist nur zulässig, wenn eine gesetzliche Bestimmung dies erlaubt. Die DSGVO sieht dazu verschiedene Erlaubnistatbestände vor (z. B. Art. 6 DSGVO), allerdings können sich Erlaubnistatbestände auch aus anderen Gesetzen ergeben (z. B. bei gesetzlich Versicherten aus dem SGB V). In der diabetologischen Praxis relevante Erlaubnistatbestände aus der ­DSGVO sind z. B. die Einwilligung des Betroffenen (Art. 6 Abs. 1 S. 1 lit. a DSGVO), die Erfüllung eines Vertrags mit dem Betroffenen (z. B. des ärztlichen Behandlungsvertrags) (Art. 6 Abs. 1 S. 1 lit. b DSGVO), der Schutz lebenswichtiger Interessen des Betroffenen (z. B. bei medizinischen Notfällen) (Art. 6 Abs. 1 S. 1 lit. d DSGVO) oder zur Wahrung berechtigter Interessen, sofern nicht die Interessen des Betroffenen an dem Schutz seiner Daten überwiegen (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Diese Regelungen galten im Wesentlichen auch schon vor Inkrafttreten der DSGVO. Neu ist jedoch die „Rechenschaftspflicht“: Jeder Verantwortliche muss nachweisen können, dass er die Anforderungen der DSGVO einhält (Art. 5 Abs. 2 DSGVO), also insbesondere die von ihm vorgenommenen Datenverarbeitungen auf einen Erlaubnistatbestand stützen kann.

Einwilligung des Betroffenen

Die Einwilligung des Betroffenen wird in der Praxis oft als wichtigster Erlaubnistatbestand angesehen. Dabei wird allerdings übersehen, dass das Einholen einer Einwilligung nicht erforderlich ist, wenn die jeweilige Datenverarbeitung bereits auf einen anderen Erlaubnistatbestand gestützt werden kann. Wenn ein anderer Erlaubnistatbestand eingreift, sollte das Einholen einer Einwilligung unterlassen werden. Datenschutzrechtliche Einwilligungen sind grundsätzlich jederzeit frei widerruflich. Wenn der Betroffene von seinem Widerrufsrecht Gebrauch macht, muss die jeweilige Datenverarbeitung beendet werden. Denn die Verarbeitung darf dann nicht mehr auf einen anderen Erlaubnistatbestand gestützt werden, weil sonst der Betroffene nicht frei über die Verarbeitung seiner Daten entscheiden könnte. Gerade diese freie Entscheidung über die Datenverarbeitung ist aber Kernmerkmal der Einwilligung. Räumt der Verantwortliche dem Betroffenen also durch das Abfragen der Einwilligung das Recht ein, über die Verarbeitung seiner Daten selbst zu entscheiden, muss der Verantwortliche auch akzeptieren, dass der Betroffene sich dafür entscheidet, die Datenverarbeitung zu beenden.