Glossar Orientierungshilfe zum Datenschutz für Gesundheitsdaten

Unternehmen müssen gegenüber den betroffenen Personen Transparenz darüber herstellen, wie sie personenbezogene Daten verarbeiten. Sie müssen daher Personen, deren (Gesundheits-) Daten sie verarbeiten, proaktiv bestimmte Informationen über die Datenverarbeitung zur Verfügung stellen. Unternehmen kommen ihren Informationspflichten häufig dadurch nach, dass sie eine Datenschutzerklärung / Privacy Policy zur Verfügung stellen und darin umfassend erläutern, wie und in welchem Umfang personenbezogene Daten verarbeitet werden.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil 2 A.III.2.

Die europäische Datenschutz-Grundverordnung (DSGVO) ist am 25. Mai 2018 nach einer Übergangsphase von zwei Jahren wirksam geworden und bildet seither den datenschutzrechtlichen Rahmen innerhalb der Europäischen Union. Unternehmen müssen ihre Geschäftsabläufe daher an die Rechtslage unter der DSGVO anpassen. Neben der DSGVO können weitere nationale datenschutzrechtliche Vorschriften, wie etwa in Deutschland die des Bundesdatenschutzgesetzes (BDSG), zu beachten sein.

Die DSGVO ist ein wichtiger Schritt zu einem harmonisierten europäischen Binnenmarkt. Ziel der Verordnung ist eine angemessene Balance zwischen Wirtschafts- und Verbraucherinteressen in Zeiten fortschreitender Digitalisierung. Sie stärkt das Grundrecht auf informationelle Selbstbestimmung durch höhere Transparenz und mehr Mitbestimmung der Bürgerinnen und Bürger mit Blick auf ihre Daten. Gleichzeitig schafft die Verordnung einen zukunftsorientierten und forschungsfreundlichen Rechtsrahmen für datenverarbeitende Unternehmen und innovative Geschäftsmodelle.

Eine Einwilligung ist eine Willensbekundung der betroffenen Person, mit der Verarbeitung der sie betreffenden personenbezogenen Daten (zum Beispiel Gesundheitsdaten) einverstanden zu sein. Die Willensbekundung kann in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erfolgen. Sie muss freiwillig sein und in informierter und unmissverständlicher Weise abgegeben werden.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil 2 A.I.3.1

Wenn zwei Unternehmen bei einer Verarbeitung von (Gesundheits-) Daten zusammenwirken und gemeinsam wesentliche Entscheidungen in Bezug auf die Zwecke und die Mittel der Verarbeitung treffen, sind beide Unternehmen gemeinsam Verantwortliche für die Datenverarbeitung. Das bedeutet, dass keines der Unternehmen privilegiert wird; eine Auftragsverarbeitung kommt nicht in Betracht. Ein Austausch von Daten zwischen zwei gemeinsam Verantwortlichen ist daher – wie jede andere Datenverarbeitung – rechtfertigungsbedürftig. Die beiden Unternehmen müssen eine die gemeinsame Verarbeitung regelnde Vereinbarung abschließen und besondere Informationspflichten beachten.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil 2 A.VII.

Gesundheitsdaten sind alle personenbezogenen Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen (Artikel 4 Nr. 15 DSGVO). Gesundheitsdaten stellen eine besondere Kategorie personenbezogener Daten dar und können als solche gesteigerten datenschutzrechtlichen Anforderungen unterliegen.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil I 1.

Unter personenbezogenen Daten versteht man Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Das bedeutet:

• Es bedarf einer natürlichen Person,
• die natürliche Person muss mindestens identifizierbar sein und
• die Informationen müssen sich personenbezogen auf diese Person beziehen.

Es kann dabei auch ausreichen, dass die natürliche Person, auf die sich die Information bezieht, erst mit weiteren Hilfsmitteln identifizierbar ist, wie etwa bei Pseudonymen. Der Begriff ist daher sehr weit zu verstehen und kann neben persönlichen Angaben (zum Beispiel Name, Alter, Fotos) oder sachlichen Angaben (zum Beispiel Kreditwürdigkeit, Vertragsbeziehungen) auch etwa Geodaten oder Online-Kennungen (zum Beispiel IP-Adressen, Cookies) umfassen. Das Gegenstück zum personenbezogenen Datum bildet das anonyme Datum.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil 1 I.1.

Unter Profiling im Gesundheitsbereich ist jede automatisierte Verarbeitung personenbezogener Daten zu verstehen, die bestimmte persönliche Aspekte einer natürlichen Person bewertet, um etwa deren Gesundheit zu analysieren oder vorherzusagen (Artikel 4 Nr. 4 DSGVO). Im Allgemeinen geht es also darum, insbesondere durch Algorithmen, Informationen über Personen automatisch zu sammeln und auszuwerten, um sie einer bestimmten Kategorie zuzuordnen.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil 2 E. I.1.

Pseudonymisierung ist die Verarbeitung personenbezogener Daten in einer Weise, dass eine Zuordnung der Daten zu einer spezifischen Person nur noch unter Hinzuziehung zusätzlicher Informationen möglich ist (Art. 4 Nr. 5 DSGVO). Erforderlich ist dabei, dass die zusätzlichen Informationen technisch/räumlich getrennt aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die Daten nicht einer bestimmten Person zugewiesen werden. Nach erfolgter Pseudonymisierung spricht man von pseudonymen Daten.

Charakteristisch für pseudonyme Daten ist somit – im Unterschied zu anonymen Daten – das Bestehen einer Zuordnungsregel wie z.B. einer Verschlüsselung, die den unter einem Pseudonym erfassten Daten ein Identifikationsmerkmal einer Person zuweist. Wurden personenbezogene Daten pseudonymisiert, so verlieren sie zwar dadurch nicht ihre Einstufung als personenbezogene Daten i.S.d. DSGVO und unterliegen daher – im Unterschied zu anonymen Daten – weiterhin sämtlichen Anforderungen des Datenschutzrechtes. Gleichwohl wird durch die Pseudonymisierung der Schutz der Betroffenen erhört, so dass z. B. pseudonymisierte Daten eher für andere Zwecke genutzt werden können.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil 1 I.1.

Unter technischen Maßnahmen versteht man Vorkehrungen, die sich auf den Vorgang der Verarbeitung von Daten erstrecken, wie zum Beispiel bauliche Maßnahmen, die den Zutritt Unbefugter verhindern sollen, oder Steuerungen des Software- oder Hardwareprozesses der Verarbeitung, etwa durch Maßnahmen der Zugriffs- oder Weitergabekontrolle wie Verschlüsselung oder Passwortsicherung.

Organisatorische Maßnahmen beziehen sich insbesondere auf die äußeren Rahmenbedingungen zur Gestaltung des technischen Verarbeitungsprozesses, etwa die Einhaltung des Vieraugenprinzips, das Wegschließen von Datenträgern, Protokollierungen von Tätigkeiten und Stichprobenroutinen. Dazu können auch Schulungen der Mitarbeiter oder Verpflichtungserklärungen gehören.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil 2 A. IV. 2.2.1

Ein Verantwortlicher im Sinne der DSGVO ist eine natürliche oder juristische Person (zum Beispiel eine GmbH oder AG) oder andere Stelle, die allein oder gemeinsam mit anderen über die wesentliche Entscheidungsbefugnis über Zwecke und Mittel der Datenverarbeitung verfügt (Art. 4 Nr. 7 DSGVO). Der Begriff des Verantwortlichen dient somit dazu, die primäre Verantwortung für die Einhaltung des Datenschutzes zuzuweisen, etwa einem verantwortlichen Unternehmen.

Weitere Informationen finden Sie in der Orientierungshilfe (PDF, 3 MB) in Teil 2 A. II. 3.1