Kitabı oku: «Die datenschutzrechtliche Einwilligung im Gesundheitsbereich unter der DSGVO»

A. Datenschutzrecht in der EU

Das Datenschutzrecht der EU wird in den Verträgen24 und in der Rechtsprechung des Europäischen Gerichtshofs (EuGH) auf verschiedene Weise gewürdigt. Art. 16 AEUV formuliert, dass jede Person ein Recht auf Schutz der sie betreffenden personenbezogenen Daten hat und ermächtigt zum Erlass von diesbezüglichem Sekundärrecht. Die Europäische Grundrechtecharta (GRCh)25, die den Verträgen im Rang gleichgestellt ist26, sieht in Art. 7 die Achtung des Privat- und Familienlebens vor, während Art. 8 ausdrücklich den Schutz personenbezogener Daten betrifft. Die Vorschriften werden durch Urteile EuGH ausgelegt und präzisiert.

Bis zum Erlass der DSRL im Jahr 1995 war es nicht gelungen, verbindliche europäische Vorgaben für die Datenschutzgesetzgebung zu verabschieden.27 Mit damals nur fünfzehn Mitgliedstaaten verabschiedete der Rat der EU die DSRL am 24. Juli 1995.28 Bis zur Anwendbarkeit der DSGVO im Jahr 2018 war die DSRL das maßgebende Harmonisierungsinstrument für den Datenschutz im europäischen Binnenmarkt.29 Der Überarbeitungsprozess, der letztlich in die DSGVO mündete, wurde allerdings schon im Jahr 2009 angestoßen.30

I. Die Entwicklung des Datenschutzrechts in der EU

Die offizielle Debatte um die Regelungen für den Schutz von Personen aufgrund von computergesteuerter Datenverarbeitung begann in der EU zu Beginn der 1970er Jahre durch Anfragen aus dem Europäischen Parlament (EU-Parlament) an die Europäische Kommission (EU-Kommission).31 Das EU-Parlament forderte in seinen Entschließungen von der EU-Kommission eine „Richtlinie über die Freiheit des Einzelnen und die Datenverarbeitung“32, die das „höchste Schutzniveau für die Gemeinschaftsbürger“33 vorsieht. Dies stand im Widerspruch zu den Interessen der EU-Kommission, den gemeinsamen Markt mit möglichst wenig Beschränkungen zu verwirklichen.34 Immer mehr Mitgliedstaaten führten derweil in nationalen Alleingängen zwischen 1970 und 1988 Datenschutzgesetze ein, die inhaltlich im klaren Widerspruch zur Haltung der EU-Kommission standen.35 Fast zwei Jahrzehnte nach den Forderungen des EU-Parlaments, im Jahr 1990, sollte die EU-Kommission der Europäischen Gemeinschaft den ersten Entwurf für die DSRL vorlegen.36

1. Entwicklung und Ziele der Datenschutzrichtlinie

Die DSRL sollte dazu dienen, das Recht der Mitgliedstaaten zu harmonisieren und dadurch einen freien Fluss der Daten ermöglichen.37 Inhaltlich war die Richtlinie kein Novum, sondern orientierte sich deutlich an den Prinzipien der Datenschutzkonvention des Europarates38 und der Europäischen Menschenrechtskonvention (EMRK) von 1950,39 die sich in den nationalen Gesetzen der Mitgliedstaaten wiederfanden.40 Die Datenschutzgesetze in Deutschland beeinflussten die DSRL ebenfalls.41 Gleichzeitig verkörperte die Richtlinie einen Spagat zwischen der Errichtung eines gemeinsamen Marktes und dem Schutz von natürlichen Personen.42 Sie stellt einen Meilenstein dar, der unter anderem einen Ausbau von Betroffenenrechten und Informationspflichten, unabhängige Kontrolle durch Datenschutzaufsichtsbehörden und eine strenge Zweckbindung der Verwendung von Daten vorsah.43

Die DSRL deckte die Verarbeitung personenbezogener Daten generisch ab und enthielt insbesondere keine spezifischen Vorgaben für die Verarbeitung von personenbezogenen Daten im medizinischen Bereich.44 Die besondere Rolle und das Schutzbedürfnis medizinischer Daten wurde nur dadurch gewürdigt, dass diese in Art. 8 DSRL einen besonderen Status enthielten, sofern sie unter Daten über die Gesundheit subsumiert werden konnten. Der Begriff der „Gesundheitsdaten“ wurde allerdings in der DSRL nicht legal definiert, auch die Erwägungsgründe liefern keine Hilfestellung zur Auslegung des Begriffs.

Eine Trennung zwischen öffentlichen und privaten Bereichen sah die Richtlinie nicht vor, wurde aber beispielsweise im Mitgliedstaat Deutschland weiterhin vorgenommen.45 Eine unterschiedliche Behandlung von Drittstaaten, also solchen, die nicht Mitglieder der Gemeinschaft waren, wurde aus der Richtlinie ebenfalls deutlich.46 Die Unterscheidung zwischen Mitgliedstaaten und Drittstaaten bedeutete, dass besondere Anforderungen gelten sollten, sobald personenbezogene Daten die Grenzen der Europäischen Gemeinschaft verlassen sollten.47 Die Überwachung der Einhaltung der Datenschutzgesetze wurde jeweils den Mitgliedstaaten überlassen, die hierfür unabhängige Kontrollstellen einrichten sollten.48 Diese sollten jedoch bei der Überwachung nicht alleine gelassen werden. So wurde ergänzend und beratend nach Art. 29 und 30 DSRL ein unabhängiges europäisches Gremium eingeführt, das die Aufgabe hatte, Durchführungsdefizite aufzudecken und zu adressieren, die EU-Kommission zu beraten und das Schutzniveau in nichteuropäischen Staaten zu bewerten.49 Dieses Gremium war die sogenannte „Artikel 29-Datenschutzgruppe“.50

2. Artikel-29-Datenschutzgruppe

Die Artikel-29-Datenschutzgruppe hat sich verschiedentlich zur Einwilligung, auch im medizinischen Kontext, geäußert.51 Damit hat sie Grundsteine für die Auslegung der Kriterien der Einwilligung gelegt. Die Datenschutzgruppe bestand gem. Art. 29 Abs. 2 DSRL aus je einem Vertreter der einzelnen Mitgliedstaaten, dem Europäischen Datenschutzbeauftragten und einem Vertreter der EU-Kommission. Die Stellungnahmen und Empfehlungen der Datenschutzgruppe waren nicht verbindlich.52

Die Stellungnahmen, Empfehlungen und Arbeitspapiere der Artikel-29-Datenschutzgruppe konnten jedoch einen wesentlichen Beitrag zur einheitlichen Anwendung der DSRL leisten.53

Seit Anwendbarkeit der DSGVO hat der Europäische Datenschutzausschuss (EDSA) als unabhängiges Organ der EU das Gremium als Nachfolger abgelöst54 und am 25. Mai 2018 gem. Art. 68 Abs. 1 DSGVO die Aufgabe übernommen, die einheitliche Anwendung der Datenschutzvorschriften zu fördern.55 Viele der Strukturen des EDSA ähneln denen des Vorgängerausschusses, allerdings haben einige Kompetenzerweiterungen stattgefunden.56 Obwohl der EDSA weiterhin ebenfalls hauptsächlich unverbindliche Stellungnahmen, Leitlinien und Empfehlungen ausarbeitet57, kann er nun in besonderen Situationen im Rahmen der sog. Streitbeilegung zwischen den europäischen Datenschutzaufsichtsbehörden verbindliche Beschlüsse erlassen.58

3. EuGH-Rechtsprechung im Datenschutzbereich

Eine der Entwicklungslinien im Europarecht ist die Rechtsprechung des EuGH.59 Das europäische Datenschutzrecht wird aufgrund seines jungen Alters allerdings von einer überschaubaren Menge an einschlägigen EuGH-Entscheidungen begleitet.60 Gleichwohl hat sich hat sich der Gerichtshof als „Bollwerk des Datenschutzes“61 positioniert; die Entscheidungen werden regelmäßig auch von den Tagesmedien aufgegriffen und sind von teilweise erheblicher Brisanz in der Praxis.62

Ein Bruchteil dieser Entscheidungen betrifft jedoch Gesundheitsdaten. Beispielsweise hat der EuGH im Fall Lindqvist63 im Jahr 2003 entschieden, dass der Begriff der Gesundheitsdaten weit auszulegen ist und

„dass er sich auf alle Informationen bezieht, die die Gesundheit einer Person unter allen Aspekten — körperlichen wie psychischen — betreffen.“64

Die weite Auslegung wurde später durch das Gericht (EuG) dahingehend präzisiert, dass aus einer Beschreibung über eine „persönliche Einschränkung“ die Offenlegung von Gesundheitsdaten oder medizinischen Daten nicht hervorgeht.65 Daraus ist zu schließen, dass zumindest eine gewisse hinreichende Konkretisierung bei Gesundheitsdaten erforderlich ist.

Solange keine Urteile im Bereich des Gesundheitsdatenschutzes ergehen, die die neuen Regelungen der DSGVO interpretieren, muss auf die allgemeinen Auslegungsgrundsätze, mit denen der EuGH regelmäßig arbeitet, zurückgegriffen werden. Der EuGH orientiert sich bei der Auslegung von EU-Recht am Wortlaut der Norm und interpretiert diesen bei Unsicherheiten systematisch und teleologisch.66 Die teleologische Auslegung wiederum orientierte sich bisher an dem Spannungsfeld der Ziele der DSRL, dem freien Datenfluss im Binnenmarkt und dem Schutz der Rechte von Betroffenen.67 Bei widerstreitenden Interessen wurden die verschiedenen Grundrechtspositionen gegeneinander abgewogen.68

II. Allgemeines zur DSGVO

Die DSGVO trat nach einem politischen Prozess in Kraft, der fast zehn Jahre andauerte. Aus der DSRL mit 24 Artikeln und 72 Erwägungsgründen wurde eine Verordnung mit einem Umfang von 99 Artikeln und 173 Erwägungsgründen.69 Bereits vor ihrer Anwendbarkeit wurde sie die „größte Katastrophe des 21. Jahrhunderts“70 genannt oder als „Meilenstein und wichtiges Signal“71 bezeichnet.72 Ob sie sich als Jahrhundertwerk oder als gescheiterter Versuch herausstellt, bleibt abzuwarten, obwohl weder das eine noch das andere Extrem zu erwarten ist. Als Ergebnis von Kompromissen und Lobbyismus, liegt es doch – wie auch unter der DSRL – an den Mitgliedstaaten, die auf europäischer Ebene gemeinsam ausverhandelten, textgewordenen Vorsätze in die Praxis umzusetzen.

1. Entwicklung und Ziele der DSGVO

Bevor die DSGVO am 27. April 2016 in Kraft trat, war sie Gegenstand zahlreicher Verhandlungen und mehrerer Entwürfe. Das Streben nach einer umfassenden Überarbeitung des Rechtsrahmens für den Datenschutz lässt sich bis in das Jahr 2009 zurückverfolgen.73 Der Prozess zur Fortentwicklung der DSRL wurde bereits im Mai 2009 mit einer öffentlichen Konsultation durch die EU-Kommission eingeläutet.74 Es folgte unter anderem eine vergleichende Studie dazu, ob die DSRL weiterhin einen angemessenen Schutz personenbezogener Daten gewährleisten konnte, oder ob Änderungen erforderlich seien.75 Ziel war es, herauszufinden, ob die europäischen datenschutzrechtlichen Regelungen im Lichte der Digitalisierung, Technisierung und globalen Datenverarbeitungen einer Überarbeitung bedurften.76 Die Überarbeitung des Rechtsrahmens für Datenschutz war Teil des Stockholmer Programms für den Zeitraum 2010 bis 2014, das vom Europäischen Rat im Sommer 2009 gebilligt wurde.77

Die Untersuchungen der EU-Kommission mündeten Ende 2010 in die Mitteilung „Gesamtkonzept für den Datenschutz in der Europäischen Union“, in der Änderungsvorschläge der Datenschutzvorschriften angekündigt wurden.78 Nach Diskussionen und Studien zum Gesamtkonzept unterbreitete die EU-Kommission Ende 2012 ihren Vorschlag für eine neue Vorschrift, die „Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung)“.79 Diese Verordnung sollte einen allgemeinen Rahmen für den Datenschutz in der EU schaffen.80 Gelingen sollte dies über das Instrument einer Verordnung, welche der Anwendung unterschiedlicher nationaler Datenschutzgesetze ein Ende setzen sollte.81 Die EU-Kommission verfolgte den Plan, das Gesetzgebungsverfahren hierfür bis Ende 2012 abzuschließen.82 Doch nie zuvor war ein Gesetzesvorhaben mit so vielen Änderungswünschen versehen und so breit debattiert.83 Das Verfahren nahm somit über vier Jahre Zeit in Anspruch, bis der Vorschlag der EU-Kommission in wesentlichen Punkten geändert wurde und die DSGVO in ihrer heutigen Fassung am 27. April 2016 angenommen wurde.84 Seit dem 25. Mai 2018 ist sie unmittelbar in allen Mitgliedstaaten anwendbar.85

2. Öffnungsklauseln als Besonderheit der DSGVO

Die Betitelung der DSGVO als Grundverordnung – wenn auch nur in der sog. „Kurzangabe des Gegenstands“86 – ist ein Novum. In der Datenbank der EU-Kommission ist keine vergleichbare Bezeichnung eines EU-Rechtsakts zu finden.87 Ursprünglich sollten zentrale Bestimmungen zwar dem Grunde nach in der Verordnung verankert werden, zusätzlich wollte die EU-Kommission jedoch über delegierte Rechts- und Durchführungsakte Konkretisierungen vornehmen.88 Die Bezeichnung als Grundverordnung ist angesichts der ca. 70 Öffnungsklauseln89 mit Spielräumen für nationale Gesetzgeber allerdings nach wie vor treffend und beschreibt die Verwässerung des typischen Verordnungscharakters.90

In ihrer Begründung führt die Europäische Kommission hierzu aus, dass die Verordnung zur Regelung des Datenschutzes in der EU am besten geeignet sei, da sie zur Rechtsvereinheitlichung beitrage, die Rechtssicherheit erhöhen und einen besseren Grundrechtsschutz bewirken werde.91 Hinsichtlich der Wahrung der Subsidiarität (vgl. Art. 5 Abs. 3 EUV) kam die EU-Kommission zum Ergebnis, dass die Mitgliedstaaten nicht allein in der Lage seien, die Ziele der Union zu verwirklichen.92

Die umfassende Rechteeinräumung im ursprünglichen Entwurf der EU-Kommission über delegierte Rechts- und Durchführungsakte führte hingegen zu Kritik mit Blick auf das Subsidiaritätsprinzip.93 Der deutsche Bundesrat erhob am 30. März 2012 eine Subsidiaritätsrüge, da er der Ansicht war, dass keine ausreichende Begründung für die Wahl der Verordnung vorliege.94 Auch die Bundesregierung wandte in ihrem zweiten Gesetzentwurf zur Anpassung des Datenschutzrechts an die DSGVO ein, dass in den Erwägungsgründen der DSGVO zwar das Ziel einer Vollharmonisierung enthalten sei, die DSGVO dieses Ziel jedoch nicht „vollumfänglich“ erreiche und stattessen einer Richtlinie gleiche.95

Die Fülle an Öffnungsklauseln ist zwar eine Besonderheit, die das Ringen um die Wahrung der Subsidiarität verdeutlicht.96 Allerdings gibt es ähnliche Aufforderungen zum legislativen Tätigwerden an die Mitgliedstaaten auch in anderen europäischen Verordnungen.97 Die Harmonisierungswirkung der DSGVO kann aber durch den Gestaltungsspielraum, den einige Öffnungsklauseln den Mitgliedstaaten bieten, beeinträchtigt werden.98 Zahlreiche Öffnungsklauseln, die in der DSGVO enthalten sind, erhielten einige Aufmerksamkeit sowohl von der Lehre als auch in der Praxis.99 In der rechtswissenschaftliche Lehre gibt es mehrere Versuche, Wirkung, Natur, Inhalt oder weitere Merkmale von Öffnungsklauseln zu systematisieren.100 Die treffendste Differenzierung ist die Unterscheidung zwischen fakultativen und obligatorischen Öffnungsklauseln.101

a) Obligatorische und Fakultative Öffnungsklauseln

Die in der DSGVO enthaltenen Öffnungsklauseln sehen „Regelungsgebote oder -optionen“ vor.102 Obligatorische Öffnungsklauseln dienen dazu, die Regelungen und Wirkung einer Verordnung institutionell zu ermöglichen, bspw. durch Einrichtung von Behörden, Zuweisen von Zuständigkeiten oder Vorgaben zur Kooperation.103 Ein Beispiel für eine obligatorisch auszufüllende Öffnungsklausel ist Art. 54 DSGVO, wonach jeder Mitgliedstaat die erforderlichen Vorschriften einführen muss, um eine Aufsichtsbehörde zu errichten und ihr die notwendigen Ressourcen zuzuteilen.104 Andererseits sind fakultative Öffnungsklauseln nicht notwendigerweise durch die Mitgliedstaaten auszufüllen, da die Verordnung selbst schon eine Regelung vorgibt. Allerdings haben die Mitgliedstaaten die Möglichkeit, von der grundsätzlichen Vorgabe abzuweichen.105 So sieht bspw. Art. 8 Abs. 1 Satz 3 DSGVO vor, dass die Mitgliedstaaten von der Altersgrenze für Einwilligungen eines Kindes (sechzehn Jahre) durch eine Altersabsetzung abweichen dürfen.106

b) Allgemeine und spezifische Öffnungsklauseln

Eine weitere Ausdifferenzierung von Öffnungsklauseln lässt sich danach vornehmen, ob diese eine Mehrzahl an Abweichungsmöglichkeiten bietet, ohne dass eine Themenbeschränkung erfolgt (allgemeine Öffnungsklausel) oder ob die Öffnungsklausel nur einen sehr beschränkten Bereich betrifft, in dem inhaltlich geringfügige Unterschiede ermöglicht werden (spezifische Öffnungsklausel).107 Unter allgemeine Öffnungsklauseln können bspw. Art. 23 DSGVO oder Art. 85 DSGVO subsumiert werden, die Mitgliedstaaten erheblichen Freiraum in ihrer nationalen Ausgestaltung lassen.108 Eine spezifische Öffnungsklausel stellt auch Art. 87 DSGVO dar, wonach in dem speziellen Bereich von nationalen Kennziffern oder Kennzeichen eine konkretere Ausgestaltung durch Mitgliedstaaten erlaubt ist.109 Teilweise wird allerdings auch eine Aufteilung und Zuordnung von Öffnungsklauseln nach deren Gegenstand und Inhalt vorgeschlagen.110

c) Unterscheidung von Öffnungsklauseln anhand ihrer Funktionen

Zusätzlich kann eine weitere Differenzierung von Öffnungsklauseln nach ihren Funktionen festgestellt werden, je nachdem, ob sie eine mitgliedstaatliche Konkretisierung, Ergänzung oder Modifikation zulassen.111 Hierbei finden Überschneidungen mit den oben genannten Kategorien statt. So kann bspw. das Festsetzen der Altersgrenze nach Art. 8 DSGVO eine mitgliedstaatliche Konkretisierung sein. Ähnlich können die mitgliedstaatlichen Rechtsvorschriften im Rahmen des Art. 88 DSGVO zum Beschäftigtendatenschutz gegenüber den generellen Vorgaben der DSGVO konkretisierend wirken, obwohl diese Konkretisierungen fakultativ sind.112 Ein weiteres Beispiel stellt Art. 9 Abs. 4 DSGVO dar, wonach die Mitgliedstaaten eine fakultative Ergänzung bzw. Modifikation bei der Verarbeitung von dort genannten besonders sensiblen Daten vornehmen können.113

d) Interpretationsansätze zu den europäischen Öffnungsklauseln

Als Sekundärrechtsakt der EU ist die DSGVO im Einklang mit dem Unionsprimärrecht, also unter anderem im Lichte der Grundrechte und Grundfreiheiten auszulegen.114 Auch nationales Recht, das Gestaltungsspielräume der DSGVO ausgestaltet, ist im Einklang mit dem Unionsrecht umzusetzen und zu interpretieren.115 Im Rahmen der autonomen Interpretation von Öffnungsklauseln ist jeweils festzustellen, ob eine solche restriktiv oder weit auszulegen ist.

aa) Autonome Interpretation von Öffnungsklauseln

Abschließende Unionsrechtsakte nehmen den Mitgliedstaaten die Regelungszuständigkeit, soweit und sofern nicht der Unionsakt den Mitgliedstaaten ausdrücklich eine Reglungsoption, Ergänzungsmöglichkeit oder einen Ausgestaltungsspielraum einräumt und somit nationale Abweichungen rechtfertigt.116

Hinsichtlich der Öffnungsklauseln nimmt die EU – im Rahmen ihrer Kompetenzen – ihre Rechtssetzungsmacht aus Art. 16 Abs. 2 AEUV zurück, um in bestimmten Bereichen neben den Regelungen der DSGVO mitgliedstaatliche Regelungen im Datenschutz zuzulassen.117 Die Öffnungsklauseln bedeuten einen Kompromiss zwischen EU-Institutionen und zahlreichen unterschiedlichen Interessen von Mitgliedstaaten.118

Reichweite, Inhalt und Umfang der Öffnungsklauseln lassen sich nur aus dem Unionsrecht selbst ermitteln, nach welchem der EU Kompetenzen für sich und die Mitgliedstaaten zugeordnet sind.119 Öffnungsklauseln sind daher autonom zu interpretieren.120 In der Regel ist bei der Auslegung von Sekundärrecht vom Wortlaut auszugehen, der auch die Grenze der Wortlautauslegung darstellt.121 Die Methoden der grammatikalischen, historischen, systematischen und teleologischen Auslegung sind dabei zu berücksichtigen, außerdem erfolgt eine Gewichtung im konkreten Einzelfall.122

bb) Restriktive oder weite Interpretation

Ob Öffnungsklauseln restriktiv oder weit zu interpretieren sind, ist umstritten.123 Müller unterscheidet danach, um welche Art von Öffnungsklausel es sich handelt.124 Verstärkungs- und Gestaltungsklauseln sind auf eine Verbesserung des hohen Datenschutzniveaus gerichtet; eine enge Auslegung würde diesem Ziel entgegenstehen und scheint daher nicht in jedem Fall sachgerecht.125

Für eine restriktive Auslegung spricht, dass die DSGVO das Ziel der datenschutzrechtlichen Vollharmonisierung mit Öffnungsklauseln kaum erreichen kann und im Verhältnis zu wachsenden nationalen Spielräumen immer weniger erreichen wird.126 Für eine restriktive Interpretation spricht ferner der Wortlaut des Erwägungsgrundes 8 der DSGVO, in dem ausdrücklich von „Präzisierungen oder Einschränkungen“ die Rede ist. Die Öffnungsklauseln sollen diesen Funktionen dienen, sodass die Annahme, dass sie keine Erweiterungen zulassen und restriktiv auszulegen sind, überzeugend ist.

Gegenargumente lassen sich aber auch unmittelbar der DSGVO entnehmen. So fordert die DSGVO über ihre Öffnungsklauseln die Mitgliedstaaten teilweise sogar dazu auf, Rechtsgrundlagen für eine rechtmäßige Verarbeitung zu schaffen – anstatt sie selbst vorzugeben.127 Dabei ist es aber fraglich, ob eine eigenständige Rechtsgrundlage statt als „präzisierende Erweiterung“ vielmehr als vollständige Erweiterung zu verstehen sein kann. Zumindest quantitativ betrachtet ist eine Rechtsgrundlage eine Form der Erweiterung. Ob auch inhaltlich eine Erweiterung vorliegt, muss jeweils eigenständig betrachtet werden.128

Die überzeugenderen Argumente sprechen dafür, dass die Weite einer Öffnungsklausel eigenständig beurteilt werden muss. Im Grunde ist aber jede Abweichung oder Ausnahme, die in der DSGVO vorgesehen ist, eng auszulegen.129

e) Ausgewählte Öffnungsklauseln

Die DSGVO sieht einige Öffnungsklauseln vor, die unter anderem speziell den Gesundheitsbereich in einzelnen Mitliedstaaten betreffen können.130 Hierzu gehören insbesondere Öffnungsklauseln in Art. 6, 9 und 89 DSGVO.

aa) Öffnungsklauseln in Art. 6 DSGVO
(1) Verarbeitung zur Erfüllung rechtlicher Verpflichtungen oder zur Wahrnehmung öffentlicher Aufgaben

Nach Art. 6 Abs. 1 Satz 1 lit. c DSGVO kann eine Verarbeitung rechtmäßig sein, wenn der Verantwortliche sie zur Erfüllung einer rechtlichen Verpflichtung vornimmt. Nach Art. 6 Abs. 1 Satz 1 lit. e DSGVO ist eine Verarbeitung rechtmäßig, wenn sie für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. In beiden Fällen kann die jeweilige Rechtsgrundlage nicht für sich stehen, sondern es bedarf des Rückgriffs auf eine mitgliedstaatliche Regelung, die die jeweilige Verarbeitungstätigkeit erforderlich macht.131

Für sich genommen bieten die Rechtsgrundlagen dem Wortlaut nach einen sehr großen Spielraum für die Mitgliedstaaten.132 Die Besonderheit des Datenschutzrechts, das als sog. Querschnittsmaterie alle Bereiche der Gesetzeslandschaft berührt, in der personenbezogene Daten eine Rolle spielen, wird dadurch berücksichtigt.133 Die beiden Vorschriften werden jedoch durch Art. 6 Abs. 3 DSGVO flankiert.134 Dort wird auch gefordert (vgl. Satz 2), dass der Zweck der Verarbeitung in der jeweiligen nationalen Rechtsgrundlage festgelegt sein muss. Im Gesundheitsbereich werden diese Öffnungsklauseln beispielsweise in typischen Behandlungssituationen relevant, allerdings auch im Bereich der Notfallmedizin und der öffentlichen Gesundheit (vgl. § 22 Abs. 1 Nr. 1 lit. b und lit. c BDSG).

(2) Ausnahme vom Grundsatz der Zweckbindung

Nach Art. 6 Abs. 4 DSGVO besteht die Möglichkeit, personenbezogene Daten, die zu einem bestimmten Zweck erhoben wurden, zu einem „anderen Zweck“ weiterzuverarbeiten.135 Voraussetzung ist, dass der Verantwortliche anhand eines Kriterienkatalogs (Art. 6. Abs. 4 lit. a–e DSGVO)136 prüft, ob die Verarbeitung zu dem neuen Zweck mit dem ursprünglichen Zweck zu vereinbaren ist.

In zwei geregelten Situationen muss dieser Kompatibilitätstest nicht durchgeführt werden, nämlich (1) wenn für die Zweckänderung eine Einwilligung eingeholt wurde137 oder (2) wenn die Zweckänderung auf einer Rechtsvorschrift der EU oder der Mitgliedstaaten beruht, „die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt“.138 Dies wird auch durch Erwägungsgrund 50 Satz 7 DSGVO bestätigt, wonach eine Weiterverarbeitung zu anderen Zwecken möglich ist, sofern eine Einwilligung hierfür vorliegt oder mit einer Rechtsvorschrift der Union oder der Mitgliedstaaten insbesondere wichtiger Ziele des allgemeinen öffentlichen Interesses verfolgt werden.139

Somit enthält Art. 6 Abs. 4 DSGVO eine Öffnungsklausel, die die Mitgliedstaaten ausgestalten dürfen, um zweckverändernde Weiterverarbeitungen zu ermöglichen.140 Deutschland hat von dieser Öffnungsklausel in § 23 BDSG für öffentliche Stellen und in § 24 BDSG für private Stellen Gebrauch gemacht.141 Sowohl § 23 als auch § 24 BDSG ordnen in ihren Absätzen 2 hinsichtlich besonderer Kategorien personenbezogener Daten (wortgleich) an, dass für eine Weiterverarbeitung dieser Daten jeweils die Voraussetzungen der Absätze 1 dieser Normen einzuhalten sind und dass zusätzlich jeweils ein Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO oder § 22 BDSG vorliegen muss.142 Auf die Möglichkeit einer Zweckveränderung bei Einwilligungen wird im Hauptteil näher eingegangen.143

bb) Öffnungsklauseln in Art. 9 DSGVO
(1) Grenzen der Einwilligung in die Verarbeitung sensibler Daten

In Art. 9 Abs. 2 lit. a DSGVO wird eine Rückausnahme definiert, die Mitgliedstaaten fakultativ ausgestalten können, um eine Datenverarbeitung aufgrund einer Einwilligung zu untersagen.144 In bestimmten, von den Mitgliedstaaten vorgegebenen Situationen kann daher selbst eine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO nicht dazu führen, dass die Verarbeitung personenbezogener Daten rechtmäßig ist.145 Nach Rogosch, die die Rechtslage unter der DSRL untersucht hat, sollte der vollständige Ausschluss der Einwilligung für bestimmte Bereiche aus „verfassungs- und europarechtlichen Gründen“ nicht zulässig sein.146 Fraglich ist, ob in der Möglichkeit, die Einwilligung auszuschließen, auch eine Möglichkeit besteht, die inhaltlichen Anforderungen an die Einwilligung anzupassen.147 Der Wortlaut gibt es nicht ausdrücklich her.148 Systematisch gesehen werden die Anforderungen an die Einwilligung auch in Art. 4 Nr. 11 und Art. 7 DSGVO geregelt. Art. 9 Abs. 2 lit. a DSGVO enthält bloß ein zusätzliches Kriterium der Ausdrücklichkeit.149

Die Systematik und eine Zusammenschau mit Art. 9 Abs. 4 DSGVO – der eine weitergehende Modifikation zumindest vom Wortlaut her ermöglicht – lassen einerseits den Schluss zu, dass der europäische Gesetzgeber in Art. 9 Abs. 2 lit. a DSGVO keinen Modifikationsspielraum eröffnen wollte.150 Andererseits kann die Rückausnahme auch so verstanden werden, dass den Mitgliedstaaten ein weiter Regelungsspielraum für die Einwilligung bei sensiblen Daten gelassen werden sollte, welche sich aus einem Minus (a maiore ad minus) des insgesamt weitreichenden Gestaltungsspielraums ergibt.151 Die Systematik zu Art. 9 Abs. 4 DSGVO kann auch dahingehend verstanden werden, dass zumindest für die dort genannten sensiblen Daten mitgliedstaatliche Bedingungen und Beschränkungen eingeführt werden können.152 In dem Fall könnten auch für die Rückausnahme nach Art. 9 Abs. 2 Konkretisierungen zulässig sein.

(2) Verarbeitung sensibler Daten im Arbeitsrecht, Recht der sozialen Sicherheit, Sozialschutz

Nach Art. 9 Abs. 2 lit. b DSGVO gilt das Verarbeitungsverbot für sensible Daten nicht, wenn die Verarbeitung für den Verantwortlichen erforderlich ist, um aus dem Arbeitsrecht oder Recht der sozialen Sicherheit und des Sozialschutzes erwachsende Rechte auszuüben und entsprechenden Pflichten nachzukommen. Diese Rechte und Pflichten müssen dem Recht der Mitgliedstaaten oder in einer Kollektivvereinbarung dem Recht der Mitgliedstaaten erwachsen.153 Der Gesundheitsbereich kann von dieser Öffnungsklausel sowohl in klassischen Verarbeitungssituationen mit Beschäftigtenkontext betroffen sein, beispielsweise, wenn Erkrankungen dokumentiert werden, als auch in innovativen Arbeitsumfeldern, wenn Beschäftigte die Möglichkeit haben, „Wearables“ (Computertechnologien, die am Körper getragen werden)154 einzusetzen, um ihre Körperwerte zu dokumentieren.155

(3) Verarbeitung sensibler Daten zu Zwecken der<unk/>Gesundheitsvorsorge und Arbeitsmedizin

Eine Verarbeitung ist nach Art. 9 Abs. 2 lit. h DSGVO unter anderem zulässig, wenn sie für die Behandlung im Gesundheitsbereich oder für die Verwaltung von Systemen und Diensten im Gesundheitsbereich auf der Grundlage des Unionsrechts oder eines mitgliedstaatlichen Rechts oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs erforderlich ist.156 Mit dieser bereichsspezifischen Norm wird berücksichtigt, dass gerade im Gesundheitsbereich und bei der Behandlung von Individuen in erheblichem Ausmaß sensible personenbezogene Daten verarbeitet werden müssen.157 Die Vorschrift berücksichtigt dabei nicht nur Verarbeitungen zur Vorsorge, Behandlung und Nachsorge, sondern auch die infrastrukturelle Dimension der Verwaltung und Dienste im Gesundheitsbereich.158

Eine Maßnahme zum Schutz dieser sensiblen Daten wird unmittelbar über Art. 9 Abs. 3 DSGVO ergänzt, der direkt auf die in Art. 9 Abs. 2 lit. h DSGVO genannten Daten Bezug nimmt.159 Die Verarbeitung steht unter der personellen Einschränkung, dass Fachpersonal oder Personen unter der Verantwortung von Fachpersonal tätig werden, welche einem Berufsgeheimnis oder einer Geheimhaltungspflicht unterliegen.160

Nachdem es aufgrund von Art. 9 Abs. 4 DSGVO zulässig ist, die hinsichtlich genetischer, biometrischer Daten oder Gesundheitsdaten zusätzliche Bedingungen und Beschränkungen einzuführen, haben Mitgliedstaaten faktisch einen erheblichen Freiraum für eigene Regelungen im Bereich der Gesundheit.161 Dies deutet auch darauf hin, dass eine Vollharmonisierung im Bereich der besonderen Kategorien personenbezogener Daten gescheitert ist.162

(4) Verarbeitung sensibler Daten zu Zwecken der öffentlichen Gesundheit

Eine Verarbeitung von Gesundheitsdaten kann gem. Art. 9 Abs. 2 lit. i DSGVO in Verbindung mit mitgliedstaatlichem Recht insbesondere dann legitim sein, wenn die Verarbeitung aus Gründen des öffentlichen Interesses zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung, bei Arzneimitteln und Medizinprodukten erforderlich ist. Insoweit zielt die Norm auf Gefahren- und Sicherheitsaspekte ab.163

Die DSGVO überlässt die Ausfüllung dieser Norm den Mitgliedstaaten, gibt aber vor, dass angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen betroffener Personen vorgesehen werden müssen, insbesondere Berufsgeheimnisse.164

(5) Archivzwecke, Forschungszwecke und statistische Zwecke als Rechtsgrundlage für die Verarbeitung sensibler Daten

In Art. 9 Abs. 2 lit. j DSGVO besteht eine Parallele zum Grundsatz in Art. 5. Abs. 1 lit. b DSGVO.165 Nach Art. 9 Abs. 2 lit. j DSGVO dürfen sensible personenbezogene Daten auf Grundlage mitgliedstaatlichen Rechts verarbeitet werden, wenn die Verarbeitung gem. Art. 89 Abs. 1 DSGVO erforderlich ist für wissenschaftliche oder historische Forschungszwecke, im öffentlichen Interesse liegende Archivzwecke oder für statistische Zwecke. Dabei fällt auf, dass zwar Art. 9 Abs. 2 lit. j DSGVO auf das mitgliedstaatliche Recht verweist, nicht aber Art. 89 Abs. 1 DSGVO. Die komplexe Formulierung kann so verstanden werden, dass zusätzlich zu den in Art. 89 Abs. 1 DSGVO genannten „Garantien für die Rechte und Freiheiten der betroffenen Person“ bei sensiblen Daten nach Art. 9 Abs. 2 lit. j DSGVO die Mitgliedstaaten den Rahmen für die Verarbeitung festlegen dürfen.166

(6) Bedingungen und Beschränkungen für die Verarbeitung von genetischen Daten, biometrischen Daten oder Gesundheitsdaten

Den Mitgliedstaaten wird es ermöglicht, unter Art. 9 Abs. 4 DSGVO zusätzliche Bedingungen, einschließlich Beschränkungen, einzuführen oder aufrechtzuerhalten, „soweit die Verarbeitung genetischer, biometrischer oder Gesundheitsdaten betroffen ist“.167 Auf eine besondere „Betroffenheit“ der Verarbeitung kommt es aber wohl nicht an, da der englische Text schlicht den Begriff „processing“ verwendet, anstatt beispielsweise „concerned with processing“.168

Bezüglich biometrischer, genetischer Daten und Gesundheitsdaten bedeutet Art. 9 Abs. 4 DSGVO, dass die Erlaubnistatbestände des Art. 9 Abs. 2 DSGVO mitgliedstaatlich auch in Bereichen modifiziert werden können, in denen der jeweilige Tatbestand nicht ohnehin schon eine Öffnungsklausel vorsieht.169 Es stellt sich die Frage, ob unter diesem Tatbestand auch mitgliedstaatliche Erleichterungen beim Einholen einer Einwilligung eingeführt werden können.170 Da die Regelungen in Art. 9 DSGVO aber ohnehin zusätzliche Hürden für eine Datenverarbeitung nach Art. 6 DSGVO bedeuten, kann über Art. 9 DSGVO überzeugenderweise keine Absenkung des Schutzniveaus erfolgen.171

Die Vorschrift führt ferner dazu, dass es bezüglich dieser Daten nicht ausreichend ist, allein die Vorgaben der DSGVO im Blick zu behalten, da die Mitgliedstaaten in ihren nationalen Gesetzen spezielle Vorgaben beibehalten und einführen dürfen.172 Nichtsdestotrotz wird in Erwägungsgrund 53 Sätze 4 und 5 DSGVO vorgegeben, dass die weiteren Bedingungen einschließlich Beschränkungen nicht den freien Verkehr personenbezogener Daten innerhalb der Union beeinträchtigen sollten, falls die Bedingungen für grenzüberschreitende Verarbeitung der Daten gelten. Aus dem Erwägungsgrund ergibt sich daher, dass die Mitgliedstaaten dazu angehalten sind, gesundheitsdatenschutzrechtliche Alleingänge mit dem freien Datenverkehr in der Union in Einklang zu bringen.173 Die Öffnungsklausel wird in Teil C. dieser Arbeit näher untersucht.

cc) Öffnungsklauseln in Art. 89 DSGVO
(1) Ausnahmen von Betroffenenrechten bei Verarbeitung zu wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken oder zu Archivzwecken

Im Kapitel über die Vorschriften für besondere Verarbeitungssituationen wird in Art. 89 DSGVO festgelegt, dass einerseits bei der Verarbeitung personenbezogener Daten für Archivzwecke, wissenschaftliche Forschungszwecke oder historische Forschungszwecke geeignete Garantien für die Rechte und Freiheiten der betroffenen Person, also gewisse Mindestanforderungen, bestehen müssen.174 Ferner wird in Art. 89 Abs. 2 DSGVO festgelegt, dass im Unionsrecht oder im mitgliedstaatliche Recht bei der Verarbeitung zu den vorgenannten Zwecken Ausnahmen von den Betroffenenrechten gem. Art. 15, 16, 18 und 21 DSGVO (bzw. bei Archivzwecken auch von Art. 20 DSGVO) vorgesehen werden dürfen.175 Die Öffnungsklauseln müssen, so Art. 89 Abs. 2 und Abs. 3 DSGVO, solche Fälle regeln, bei denen voraussichtlich die Geltendmachung der Rechte einer Verwirklichung der spezifischen Zwecke entgegenstehen würde und daher die Ausnahme zur Erfüllung der Zwecke notwendig ist.176

(2) Keine Ausnahme vom Recht auf Löschung oder für die Einwilligung

Eine Ausnahme für das Recht auf Löschung (Art. 17 DSGVO) oder von den Bedingungen der Einwilligung (insbesondere Art. 7 DSGVO) ist an dieser Stelle nicht ausdrücklich vorgesehen.177 Daraus – auch unter Berücksichtigung der Gesetzessystematik – lässt sich schließen, dass Mitgliedstaaten über Art. 89 DSGVO beispielsweise keine Ausnahme vom Widerrufsrecht bei der Einwilligung machen dürfen.178 Gleichwohl wird sich zeigen, dass im Rahmen der wissenschaftlichen Forschung insb. aufgrund von Ausnahmen in Art. 17 Abs. 3 DSGVO Ausnahmen von der Löschpflicht bestehen können.179

3. Ausgewählte Begriffsdefinitionen der DSGVO

Wie schon unter der DSRL wurden auch in der DSGVO Begriffe definiert. Die Anzahl an Definitionen wurde aber mehr als verdreifacht.180

a) Der Begriff der personenbezogenen Daten

Der Begriff des personenbezogenen Datums eröffnet gem. Art. 2 Abs. 1 DSGVO den sachlichen Anwendungsbereich der DSGVO und ist somit ein essentielles Kriterium.181 Personenbezogene Daten sind gem. Art. 4 Nr. 1 DSGVO „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen“. Diese Definition der personenbezogenen Daten enthält somit zusätzlich die Definition über die so genannte betroffene Person.182

Wann eine Person identifiziert oder identifizierbar ist und vor allem, für wen diese Identifizierbarkeit vorliegen muss, wird in der Definition – wie schon unter der DSRL183 – offengelassen.184 Um den Schutz der natürlichen Person zu gewährleisten, kann eine Identifikation nicht nur dann vorliegen, wenn Vor- und Nachname einer Person oder sonstige Merkmale der bürgerlichen Identität ermittelt werden können.185 Es muss ausreichend sein, dass eine Person „singularisiert“ und ohne Verwechselung wiedererkannt werden kann.186

In der Literatur wird ferner darüber diskutiert, aus wessen Perspektive die Identifizierung vorgenommen können werden muss.187 Es stellt sich die Frage, ob von einem absoluten Verständnis des Personenbezugs auszugehen ist,188 wonach auf die Möglichkeit aller Menschen zur Identifizierung abzustellen wäre (eine Anonymisierung wäre damit faktisch kaum möglich),189 oder ob auf ein relatives Verständnis des Personenzugs abzustellen ist, wonach auf Wissen und Möglichkeiten des Verantwortlichen abzustellen wäre, bzw. auf Dritte, die wahrscheinlich eine Identifizierung vornehmen könnten.190

Der Kommissionsentwurf zur DSGVO bezog in die Definition einen Zusatz mit ein (inhaltlich entsprach dieser dem Erwägungsgrund 26 DSRL), der vorsah, dass die Identifizierung der natürlichen Person mit Mitteln bestimmt wird, die der für die Verarbeitung Verantwortliche oder jede sonstige natürliche oder juristische Person nach allgemeinem Ermessen aller Voraussicht nach (im Englischen: „all means reasonably likely to be used“) einsetzen würde.191 Doch dieser Zusatz wurde in der Fassung des Rates wieder gestrichen.192 Er fand stattdessen wiederum Eingang in Erwägungsgrund 26 DSGVO. Der Zusatz hilft allerdings nicht dabei, eindeutig zu bestimmen, ob von einem relativen oder absoluten Verständnis auszugehen ist. Ein streng absoluter Ansatz lässt sich mit Rücksichtnahme auf den Erwägungsgrund, der auf ein allgemeines Ermessen und ein Wahrscheinlichkeitskriterium abstellt, also auf eine Verhältnismäßigkeitsprüfung hindeutet, nur schwer vertreten.193 Letztlich kommt es überzeugenderweise auf eine Einzelfallprüfung und den jeweiligen Kontext an, auf die technischen Mittel, eine Risikobetrachtung, rechtliche Möglichkeiten, Kosten und Aufwand.194

b) Der Begriff der Verarbeitung

Die DSGVO ist sachlich anwendbar, wenn personenbezogene Daten ganz oder teilweise automatisiert oder über ein Dateisystem verarbeitet werden.195 Der Begriff der Verarbeitung in Art. 4 Nr. 2 DSGVO wurde gegenüber der Vorgängerversion in Art. 2 lit. b DSRL kaum verändert und hat auch in der finalen Fassung der DSGVO gegenüber den Entwürfen im Gesetzgebungsverfahren keine wesentlichen Änderungen erfahren.196 Inhaltlich ist er beschreibend und zählt – weder abschließend noch trennscharf – verschiedene Formen der Verarbeitung auf.197 Eine Verarbeitung im datenschutzrechtlichen Sinne bedarf jedenfalls eines personenbezogenen Datums sowie eines Systems, durch welches – automatisiert oder nichtautomatisiert – ein Vorgang ausgeführt wird. Drittes Element der Verarbeitung ist nach Ansicht von Kirsten Bock, Mitglied der Ländervertretungen Deutschlands in Arbeitsgruppen des EDSA, ein Prozess.198

c) Der Begriff der genetischen Daten

Genetische Daten sind gem. Art. 4 Nr. 13 DSGVO „personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden“. Erwägungsgrund 34 der DSGVO enthält weitere Informationen dazu, wie die personenbezogenen Daten, die unter die Definition der genetischen Daten fallen, erhoben werden. Demnach sollen diese Daten aus Analysen einer biologischen Probe stammen, insbesondere durch Chromosomen, Desoxyribonukleinsäure (DNS)- oder Ribonukleinsäure (RNS)-Analyse oder durch Analyse eines anderen Elements, durch die gleichwertige Informationen erlangt werden können.199

Eine Definition genetischer Daten war in der DSRL nicht enthalten.200 Dies wurde auch mehrfach kritisiert, obwohl genetische Daten teilweise unter den Begriff der Gesundheitsdaten, die in Art. 8 DSRL ausdrücklich erwähnt (jedoch nicht definiert) waren, eingeordnet werden konnten.201 In Art. 9 DSGVO sind die genetischen Daten ausdrücklich auch vom Schutzbereich für besondere Kategorien personenbezogener Daten erfasst.202 Sofern genetische Daten Informationen über den Gesundheitszustand erhalten, sind diese jedenfalls auch unter Art. 4 Nr. 15 DSGVO (Gesundheitsdaten) zu subsumieren.203 Informationen über die Physiologie beziehen sich auf funktionelle Vorgänge im Organismus.204 Aus einer Genanalyse lassen sich Informationen entnehmen, die Rückschlüsse auf den körperlichen Zustand, zukünftige oder bestehende Erkrankungen, Verhaltensweisen und Prädispositionen zulassen.205 Aufgrund der Sensitivität der Informationen ergibt sich ein großes Missbrauchspotential, das nicht nur die untersuchte betroffene Person betrifft, sondern häufig auch Angehörige Dritte.206

d) Der Begriff der biometrischen Daten

In Art. 4 Nr. 14 DSGVO sind biometrische Daten definiert als „mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten“. Biometrische Daten sind nicht beliebig und vor allem nur mit einem erhöhten Aufwand, der erhebliche körperliche Eingriffe erfordern kann, veränderbar.207

Eine Einschränkung wird dahingehend gemacht, dass „spezielle technische Verfahren“ eingesetzt werden müssen.208 Die Beispiele der Verfahren zur Erstellung von Gesichtsbildern und Daktyloskopie deuten darauf hin, dass es um Vorgänge geht, die darauf abzielen, biometrische Merkmale festzustellen oder festzuhalten.209 In Erwägungsgrund 51 der DSGVO ist daher auch klargestellt, dass Fotos von natürlichen Personen nicht grundsätzlich als biometrische Daten einzustufen sind, sondern nur dann, wenn die Fotos mit speziellen technischen Verfahren verarbeitet werden, die eine eindeutige Identifizierung oder Authentifizierung ermöglichen.210

e) Der Begriff der Gesundheitsdaten

Gesundheitsdaten sind nach Art. 4 Nr. 15 DSGVO „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“. Wie oben beschrieben lassen sich auch genetische Daten regelmäßig den Gesundheitsdaten zuordnen.211 Damit Gesundheitsdaten vorliegen, müssen also zwei Bedingungen erfüllt sein: einerseits müssen sich personenbezogene Daten auf die körperliche oder geistige Gesundheit, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen (1), andererseits müssen ihnen Informationen über den Gesundheitszustand zu entnehmen sein (2). Da die beiden Definitionsbestandteile durch ein „und“ miteinander verbunden sind, müssen beide Bedingungen kumulativ vorliegen.212

aa) Bezug zur körperlichen oder geistigen Gesundheit

Nach dem ersten Kriterium müssen sich die personenbezogenen Daten auf die körperliche oder geistige Gesundheit beziehen. Wann eine Bezugnahme zur Gesundheit zu bejahen ist, ist durch Auslegung zu ermitteln.

(1) Weite Auslegung

Die Endfassung der Definition über Gesundheitsdaten ist etwas enger gefasst als der ursprüngliche Entwurf der EU-Kommission, der lediglich die erste Bedingung vorsah.213 Die Bestimmung ist dennoch weit auszulegen, da der Begriff der Gesundheitsdaten nicht an eine Krankheit anknüpft, sondern allgemein an einen Zustand über die Gesundheit.214 Der Gesetzeswortlaut erfasst außerdem ausdrücklich sowohl die physische als auch psychische Gesundheit einer Person. Nach Erwägungsgrund 35 der DSGVO umfassen Gesundheitsdaten Informationen über den „früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand“, und können somit einen erheblichen, gar existentiellen, Einfluss auf das Leben und Chancen einer betroffenen Person haben.215 Unklar ist aber, wie eng oder wie direkt die Beziehung zwischen personenbezogenem Datum und Information über den Gesundheitszustand sein muss, damit die Definition erfüllt ist.

(2) Unmittelbarer oder mittelbarer Bezug zur Gesundheit am Beispiel von Ortsdaten und Biobanken

Aus der Definition geht nicht eindeutig hervor, ob sich die personenbezogenen Daten unmittelbar auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen müssen, oder ob sich dies auch mittelbar ergeben kann, was die Einordnung von Daten als sensibel oder nichtsensibel erschwert.216 Die Unterscheidung ist m.E. allerdings essentiell, da der Begriff der Gesundheitsdaten mit ihr entweder sehr flexibel und offen wird oder eng bleibt und somit das Risiko beinhaltet, dass Schutzlücken für natürliche Personen entstehen.217 Dies soll an zwei Beispielen gezeigt werden.

Technisch ist es möglich, dass sich auch aus so genannten Metadaten, also beispielsweise Standortdaten (z.B. Ort, Datum, Dauer des Verweilens an einem Ort), die für sich genommen nicht sensibel sind, eine Aussage über den Gesundheitszustand einer natürlichen Person treffen lassen kann.218 Ein Beispiel sind auf Smartphones installierte Corona-Tracking-Apps, die den Standort ihrer User erfassen.219 Ein weiteres Beispiel hierfür könnte der regelmäßige Besuch einer Person in einer Praxis für Strahlentherapie über einen bestimmten Zeitraum hinweg sein. Bei einer ambulanten Behandlung eines Krebspatienten kann dieser zwischen ca. 30 Minuten bis zu mehreren Stunden bestrahlt werden.220 Eine Chemotherapie wird häufig in Behandlungszyklen durchgeführt, was bedeutet, dass eine Person im Rahmen der Therapie in regelmäßigen Abständen Medikamente erhält, die dann über einen bestimmten Zeitraum wirken sollen, bevor eine erneute Behandlung durchgeführt wird.221 Wenn sich also aus den Ortsdaten und Zeitangaben (z.B. über ein Navigationsgerät aufgezeichnet, ggf. verknüpft mit dem Kalender auf einem Smartphone oder festgehalten, weil (irgend-)eine Smartphone-App ständig Standortdaten abruft und speichert) feststellen lässt, dass sich eine natürliche Person über mehrere Monate hinweg in gewissen Zeitabständen an einem Ort befindet, an dem Strahlentherapie durchgeführt wird, so kann aus diesen Daten (eindeutig) hervorgehen, dass die natürliche Person an Krebs erkrankt ist und sich in Behandlung befindet. Die Daten beziehen sich also zumindest mittelbar auf die körperliche Gesundheit einer Person.222

Rückschlüsse lassen sich auch auf die geistige Gesundheit einer natürlichen Person ziehen, wenn diese regelmäßig (oder auch einmalig) eine Adresse aufsucht, an der Psychiater oder Psychologen niedergelassen sind. Im Kontext mit Fachpersonal, welches sich über öffentliche Eintragungen (Webseiten, Telefonbücher, Einträge/Tags in Kartenmaterial auf Smartphones) schnell finden lässt, ist dies auch kein rein theoretisches Konstrukt. In beiden Fällen – jeweils im Kontext einer Behandlung durch Fachpersonal – kann zumindest mittelbar auch das Beispiel der „Erbringung von Gesundheitsleistungen“ der Definition von Art. 4 Nr. 15 DSGVO bejaht werden.223

Nur, wenn der Bestandteil der Definition enger verstanden wird, wenn sich also die personenbezogenen Daten unmittelbar auf die körperliche oder geistige Gesundheit beziehen, ist bei Ortsdaten diese erste Bedingung der Definition nicht erfüllt. So könnte auch argumentiert werden, ein Standortdatum sage (ausschließlich) etwas über den Standort aus, also über den Aufenthaltsort einer natürlichen Person, hingegen nichts über die Gesundheit. Andererseits spricht der Wortlaut der Definition in Art. 4 Nr. 15 DSGVO von personenbezogenen Daten, die sich auf die geistige oder körperliche Gesundheit beziehen, d.h. eine Beziehung zwischen der Gesundheit und dem personenbezogenen Datum reicht aus, um das Kriterium zu erfüllen.224

Ähnlich stellt es sich in Forschungsprojekten dar. In Biobanken werden beispielsweise regelmäßig genetische Informationen, Gesundheitsdaten und lebensstilbezogene Informationen („Lifestyle Data“) zusammengeführt, um daran zu forschen, wie nichtgenetische Faktoren die Gene beeinflussen.225 In diesen Fällen können richtigerweise alle personenbezogenen Daten, die für die Forschungsprojekte erforderlich sind, einen unmittelbaren oder mittelbaren Bezug zur Gesundheit einer Person aufweisen. Nicht ausgeschlossen werden kann auch, dass sich erst aufgrund der Forschungsergebnisse der Bezug zur Gesundheit herstellen lässt. Ob überhaupt eine eindeutige Abgrenzung zwischen Daten, die unmittelbar einen Bezug zur Gesundheit zulassen, und mittelbaren Gesundheitsdaten möglich ist, ist zweifelhaft. Daher ist zu untersuchen, ob die zweite Bedingung, die die Definition aufstellt, also dass Gesundheitsinformationen aus den Daten hervorgehen sollen, zu mehr Klarheit führen kann.

bb) Personenbezogene Daten, aus denen Gesundheitsinformationen hervorgehen

Das zweite Kriterium fordert, dass aus den personenbezogenen Daten, die in Beziehung zur körperlichen oder geistigen Gesundheit stehen, Informationen über den Gesundheitszustand hervorgehen (auf Englisch: „reveal“; auf Französisch: „révèle“).226

(1) Weite Auslegung

Allein der Begriff „Hervorgehen“ ist extrem weit gefasst und nicht an eine Verarbeitungstätigkeit oder Handlung geknüpft.227 Bei dem Beispiel mit Standortdaten stellt sich also die Frage, ob sich diesen Daten Informationen über den Gesundheitszustand einer natürlichen Person entnehmen lassen, wenn sie z.B. aus den Metadaten hervorgehen. Es muss sich dem Begriff nach auch nicht um ein Ziel handeln oder Absicht des Verantwortlichen sein, die hervorgehenden Informationen über den Gesundheitszustand zu erfassen.228 Es scheint, als reiche allein die objektive Möglichkeit hierzu aus.229

„Informationen über den Gesundheitszustand“ sind begrifflich ebenfalls sehr weit gefasst.230 Eine Information über den Gesundheitszustand kann nicht erst vorliegen, wenn eine Diagnose feststeht.231 Auch die Tatsache, dass sich eine Person in Behandlung befindet, kann bereits eine Information über den Gesundheitszustand sein.232 Die Artikel-29-Datenschutzgruppe sah – noch zur DSRL – auch Daten, die eine bloße Annahme über einen Gesundheitszustand zulassen, als Gesundheitsdaten an, da ein Risiko einer unfairen Behandlung wegen eines angenommen oder tatsächlichen Gesundheitszustands besteht.233

(2) Unmittelbares oder mittelbares Hervorgehen

Die Unterscheidung zwischen den Begriffen mittelbar und unmittelbar, bzw. „direkt“ und „indirekt“, kennt die DSGVO aus der Definition über personenbezogene Daten in Art. 4 Nr. 1 DSGVO. Durch das Hinzufügen eines entsprechenden Zusatzes in die Definition der Gesundheitsdaten hätte m.E. eine Klarstellung erfolgen können. Dennoch lässt sich daraus, dass ein entsprechender Zusatz fehlt, m.E. nicht schließen, dass ausschließlich Informationen, die in unmittelbarer Beziehung zum körperlichen oder geistigen Zustand stehen, oder aus denen unmittelbar Informationen über den Gesundheitszustand hervorgehen, gemeint sind. Denn auch dies hätte m.E. durch die Ergänzung des Wortes „unmittelbar“ oder „direkt“ gelenkt werden können. Dies zeigt auch die Entwicklung der begleitenden Erwägungsgründe.

Bevor Erwägungsgrund 35 der DSGVO seine finale Version fand, hatte sich das EU-Parlament dem Vorgänger, Erwägungsgrund 26 der DSGVO, angeschlossen. Demnach sollten unter anderem auch „Vormerkung der betreffenden Person zur Erbringung medizinischer Leistungen, Angaben über Zahlungen oder die Berechtigung zum Empfang medizinischer Dienstleistungen“234 erfasst sein. Personenbezogene Daten, die in Beziehung zum Gesundheitsstatus einer natürlichen Person stehen, sollten in der Entwurfsfassung also auch vorliegen, wenn es sich um Informationen über die Registrierung zu Gesundheitsdienstleistungen oder Informationen über Zahlungen für Gesundheitsleistungen handelte.235 Eine Zahlung ist ein neutraler Vorgang, der nur in Beziehung zu weiteren Informationen Rückschlüsse auf den Gesundheitszustand einer Person zulässt (z.B., weil Zahlungen an Dienstleister einer bestimmten Branche (Ärzte, Krankenhäuser, Spezialisten) geleistet werden). Diesen Informationen den besonderen Schutzstatus von Art. 9 DSGVO zukommen zu lassen zeigt, dass den an den Entwürfen beteiligten gesetzgeberischen Organen bewusst war, dass sich aus vorgeblich neutralen Handlungen sensible Rückschlüsse ziehen lassen können. Der spätere Erwägungsgrund 35 DSGVO fand jedoch eine andere finale Fassung, in der der Bezug zu Zahlungen oder zur Empfangsberechtigung bestimmter Leistungen fehlt.236

Aus Erwägungsgrund 35 der DSGVO lässt sich nunmehr nicht eindeutig entnehmen, ob Daten, die nicht unmittelbar im Zusammenhang mit einer Gesundheitsleistung verarbeitet werden, auch unter die Definition der Gesundheitsdaten fallen und damit auch dem Schutz des Art. 9 DSGVO unterliegen. Die Zuordnung als besondere oder nicht besondere personenbezogene Daten ist aber von Relevanz insbesondere für die Rechtsgrundlagen, auf die sich Verantwortliche berufen können und Sicherheitsmaßnahmen, die durch Verantwortliche ergriffen werden müssen.237

(3) Mangelnder Kontextbezug

Vielfach wird kritisiert, dass die Unterscheidung zwischen sensiblen und nichtsensiblen Daten nicht davon abhängig gemacht wird, in welchem Kontext und insbesondere für welche Zwecke die personenbezogenen Daten verarbeitet werden, sondern von dem personenbezogenen Datum selbst abhängig gemacht wird.238 Bei der Definition der Gesundheitsdaten ist ein gewisser Kontext – allerdings zirkulär – durchaus vorhanden, da der Kontext die „Gesundheit“ einer Person oder der „Gesundheitszustand“ ist. Auf eine Bezugnahme auf Dauer, Zwecke, Ziele des Verantwortlichen scheint es der Definition nach nicht anzukommen.239 Solche Kriterien lassen sich ferner der Stellungnahme der Artikel-29-Datenschutzgruppe entnehmen.240

Der EuGH hatte bisher nur in der Rechtssache Lindqvist die Gelegenheit, festzustellen, dass die Tatsache, „dass sich eine Person am Fuß verletzt habe und partiell krankgeschrieben sei, zu den „personenbezogenen Daten“ über die Gesundheit im Sinne von Art. 8 Abs. 1 der Richtlinie 95/46“ zähle.241 Ferner hat das Gericht festgestellt, dass der französische Begriff „contraints personelles“ nicht als Gesundheitsdatum einzustufen ist.242

Gesundheitsdaten werden auch verarbeitet, wenn technische Geräte, die nicht ausschließlich einen medizinischen Anwendungsbereich haben (Smartphone-Apps, Armbanduhren, Kameras, Schlaftracker, Zyklustracker, sonstige Gadgets, Apps für Blinde und sehbehinderte Menschen) den Puls, Blutdruck oder die Körpertemperatur messen, oder Körperflüssigkeiten analysieren, da auch aus diesen Daten Informationen über den Gesundheitszustand einer Person hervorgehen.243 Nicht zu unterschätzen ist dabei aber auch die Tatsache, dass die medizinischen Anwendungen und darauf basierenden Datenverarbeitungen nicht nur der DSGVO, sondern auch nationalen Bereichsgesetzen unterfallen können.

(4) Raum für mitgliedstaatliche Spezifizierungen

In Art. 9 Abs. 4 DSGVO ist eine Öffnungsklausel vorgesehen, die den Mitgliedstaaten u.a. hinsichtlich Gesundheitsdaten nationale Alleingänge ermöglicht.244 Je weiter der Begriff der Gesundheitsdaten gefasst wird, desto weiter wird m.E. auch der Spielraum für nationale Gesetzgebung. Dies spricht dafür, dass der Begriff der Gesundheitsdaten nicht ausufern darf. Gleichzeitig besteht – ggf. bis zu einer Entscheidung durch den EuGH – das Risiko, dass in den Mitgliedstaaten der Begriff der Gesundheitsdaten bzw. die Weite des Begriffs unterschiedlichen Interpretationen unterliegt und mittelbare Gesundheitsdaten in einem Mitgliedstaat deutlich stärkeren rechtlichen Vorgaben unterworfen werden als in anderen Mitgliedstaaten. Aus einer systematischen Sicht wäre daher eine engere Auslegung des Begriffs der Gesundheitsdaten dem Ziel des einheitlichen Schutzniveaus in den europäischen Mitgliedstaaten zuträglich.245 Andererseits dient eine weitere Auslegung dem Schutz betroffener Personen.

cc) Vorteile einer weiten Auslegung von Gesundheitsdaten

Aus Sicht des Schutzes natürlicher Personen bietet eine weite Auslegung des Begriffes den größtmöglichen Schutz, da Verantwortliche bei der Datenverarbeitung an den strengen Art. 9 DSGVO und ggf. andere nationale Schutzvorgaben gebunden sind.246 Die DSGVO verfolgt gleichzeitig mehrere Ziele und Schutzzwecke, die auch miteinander im Widerspruch stehen können.247 Eine eindeutige Abgrenzung, die generell und unabhängig vom jeweiligen Verarbeitungskontext ist, ist m.E. nicht möglich. Bei personenbezogenen Daten, die sich mittelbar den Gesundheitsdaten zuordnen lassen, wird m.E. jeweils einzelfallabhängig eine Abwägung insbesondere der Verarbeitungszwecke und der Risiken für Grundrechte und Freiheiten betroffener Personen erforderlich sein.

4. Der übergeordnete Begriff der sensiblen Daten

Im Text der DSGVO kommt der Begriff „sensible Daten“ nicht vor. Er wird aber in mehreren Erwägungsgründen erwähnt.248 In Erwägungsgrund 10 DSGVO heißt es: „Diese Verordnung bietet den Mitgliedstaaten zudem einen Spielraum für die Spezifizierung ihrer Vorschriften, auch für die Verarbeitung besonderer Kategorien von personenbezogenen Daten (im Folgenden „sensible Daten“). „Besondere Kategorien personenbezogener Daten“, darunter fallen auch Gesundheitsdaten, sind daher zunächst definiert als „sensible Daten“.249 Dieser Begriff wird nachfolgend allerdings nicht ein einziges Mal wiederverwendet.

In Erwägungsgrund 51 Satz 1 der DSGVO wird von personenbezogene Daten gesprochen, „die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind“, wobei nicht klar wird, ob damit die Daten gemeint sind, die schon in Erwägungsgrund 10 der DSGVO genannt wurden, oder ob der Anwendungsbereich größer ist.250 Kontext und Inhalt des Erwägungsgrundes lassen darauf schließen, dass auch hier die besonderen Kategorien personenbezogener Daten gemeint sind, da hierauf Bezug genommen wird. In Erwägungsgrund 91 der DSGVO werden im Kontext der Datenschutz-Folgenabschätzung ebenfalls die sensiblen Daten angesprochen („aufgrund ihrer Sensibilität“). Letztlich wird durch den Begriff das besondere Schutzbedürfnis dieser Datenkategorien verstärkt und in einem Sammelbegriff zentriert, ein Mehrwert oder eine andere Bedeutung wird nicht gewonnen. Dass die DSGVO andere personenbezogene Daten als die besonderen Kategorien personenbezogener Daten aufnehmen wollte, um ein offenes abgestuftes Konzept von Sensibilitäten zu kreieren, lässt sich nicht herauslesen.251

III. Zusammenfassung

Die DSGVO versucht einen Spagat zwischen der Vereinheitlichung der datenschutzrechtlichen Vorschriften in allen Mitgliedstaaten auf Verordnungsniveau und einem generalistischen Ansatz bei der Formulierung der Normen. Dies führt zwangsläufig zu Interpretationsschwierigkeiten und unklaren Regelungsreichweiten der Normierungen, insbesondere auch der Öffnungsklauseln, in der DSGVO. Gerade in Bereichen der öffentlichen Gesundheit und privaten sowie öffentlichen Gesundheitsvorsorge und Behandlung, bei genetischen und Gesundheitsdaten verbleiben bei den Mitgliedstaaten gestalterische Spielräume. Ein Blick über die DSGVO hinaus in das nationale mitgliedstaatliche Recht bleibt somit bei der Verarbeitung von Gesundheitsdaten unerlässlich.

Für die Verarbeitung von Gesundheitsdaten ist aber keinesfalls stets eine Einwilligung erforderlich. So wurde bereits ersichtlich, dass es eine Vielzahl an möglichen Rechtsgrundlagen (vertraglich und gesetzlich) für die Verarbeitung besonders sensibler Daten gibt. Ob Öffnungsklauseln sich sogar auf die Vorgaben für die datenschutzrechtliche Einwilligung (Art. 9 Abs. 2 und Abs. 4 DSGVO) im Gesundheitsbereich auswirken, wird im Hauptteil genauer untersucht.

24 Vertrag über die Europäische Union (konsolidierte Fassung) (EUV), ABl. Nr. C 202 vom 7.6.2016, S. 13–388; Vertrag über die Arbeitsweise der Europäischen Union (konsolidierte Fassung) (AEUV), ABl. C 202 vom 7.6.2016, S. 1–388. 25 Charta der Grundrechte der Europäischen Union (GRCh), ABl. C 202 vom 7.6.2016, S. 391–407. 26 Art. 3 Abs. 6 EUV. 27 Simitis, Datenschutz – Rückschritt oder Neubeginn?, NJW 1998, S. 2474. 28 Cannataci/Misfud Bonnici, Medical data protection in Europe: New rules vs. actual trends, Law & Information Technology Research Unit 1995, S. 302. 29 Schantz, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, 35. Aufl. 2021, Art. 1 Rn. 8. 30 Schantz/Wolff, Das neue Datenschutzrecht, 2017, A. Verfassungs- und unionsrechtliche Grundlagen, Rn. 8. 31 Evans, European Data Protection Law, The American Journal of Comparative Law 1981, S. 574; Simitis, NJW 1997, S. 281. 32 EU-Parlament, Entschließung über den Schutz der Rechte des Einzelnen angesichts der fortschreitenden technischen Entwicklung auf dem Gebiet der automatischen Datenverarbeitung, ABl. C 60 vom 13. März 1975, S. 48. 33 EU-Parlament, Entschließung zum Schutz der Rechte des einzelnen angesichts der fortschreitenden technischen Entwicklung auf dem Gebiet der Datenverarbeitung, ABl. C 140 vom 5. Juni 1979, S. 34 und EU-Parlament, Entschließung zum Schutz der Rechte des einzelnen angesichts der fortschreitenden technischen Entwicklung auf dem Gebiet der Datenverarbeitung, ABl. C 87 vom 5. April 1982, S. 39. 34 Simitis, NJW 1997, S. 282. 35 Simitis, NJW 1997, S. 281; Simitis/Hornung/Spieker gen. Döhmann, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), Datenschutzrecht, 2019, Einleitung, Rn. 133; vgl. auch Simitis, NJW 1997, S. 281, wonach die Kommission Ausnahmevorschriften und Sonderregelungen im Bereich des Datenschutzes als Markteinschränkung empfand. 36 EU-Kommission, Vorschlag für eine Richtlinie des Rates zum Schutz von Personen bei der Verarbeitung personenbezogener Daten, KOM/90/314 ENDG – SYN 287, ABl. C 277 vom 5.11.1990, S. 3–12. 37 Erwägungsgründe (ErwG) 7, 8, 9 DSRL; hierzu auch Bradford, The Brussels Effect, How the European Union Rules the World, 2020, S. 136. 38 Europarat, Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 28. Januar 1981, Vertrag-Nr. 108. 39 Europarat, Europäische Konvention zum Schutze der Menschenrechte und Grundfreiheiten vom 4. November 1950 (EMRK). 40 D’Afflitto, European Union Directive on Personal Privacy Rights and Computerized Information, Villanova Law Review (VLR) 1996, S. 305; Simitis/Hornung/Spieker gen. Döhmann, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Einleitung, Rn. 140. 41 Kosta, Consent in European Data Protection Law, 2013, S. 86 m.w.N. 42 D’Afflitto, VLR 1996, S. 309. 43 Simitis, NJW 1998, S. 2473. 44 Cannataci/Misfud Bonnici, LITRU 1995, S. 303. 45 Gola, Die Entwicklung des Datenschutzrechts im Jahre 1995/96, NJW 1996, S. 3312; Blume, EDPL 2015, S. 32ff. 46 Vgl. ErwG 60 DSRL; Kapitel 4 DSRL: „Übermittlung personenbezogener Daten in Drittländer“. 47 ErwG 60 DSRL, Kapitel 4 DSRL; Solove, A Brief History of Information Privacy Law, Proskauer on Privacy, PLI, 2006, S. 40. 48 Vgl. Art. 28 Abs. 1 DSRL; der Mitgliedstaat Deutschland hielt die in Art. 32 Abs. 1 DSRL gesetzte Umsetzungsfrist von drei Jahren nicht ein, vgl. Gramlich, Datenanalyse vs. Datenschutz – Was muss beachtet werden?, in: Keuper/Schomann/Sikora (Hrsg.), Homo Connectus, Einblicke in die Post-Solo-Ära des Kunden, 2018, S. 369. 49 Voss, Survey of Recent European Union Privacy Developments, The Business Lawyer 2012, S. 207; Simitis/Hornung/Spieker gen. Döhmann, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Einleitung, Rn. 144. 50 Die DSRL verwendet ab Art. 29 Abs. 1 den Begriff „Gruppe“; die Gruppe betitelte ihre Veröffentlichungen mit „Artikel 29-Datenschutzgruppe“. 51 Artikel-29-Datenschutzgruppe, Opinion on purpose limitation, WP 203, 2013; Stellungnahme zu Entwicklungen im Bereich biometrischer Technologien, WP 193, 2012; Arbeitspapier 01/2012 zu epSOS, WP 189, 2012; Stellungnahme zur Definition von Einwilligung, WP 187, 2011; Arbeitspapier Verarbeitung von Patientendaten in elektronischen Patientenakten (EPA), WP 131, 2007; Arbeitspapier über Biometrie, WP 80, 2003. 52 Vgl. Art. 288 Abs. 5 AEUV; Selmayr, in: Ehmann/Selmayr (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 68, Rn. 1. 53 Vgl. Buchner, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, 2. Aufl. 2018, Art. 68 Rn. 2, die sogar von der Ausbildung eines „soft law“ sprechen. 54 Vgl. EDSA, Artikel-29-Datenschutzgruppe (archivierte Dokumente), abrufbar unter https://edpb.europa.eu/our-work-tools/article-29-working-party_de (zuletzt abgerufen am 11.04.2021); Nguyen, in: Gola (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 68 Rn. 1. 55 Vgl. auch Über den EDSA, abrufbar unter https://edpb.europa.eu/about-edpb/aboutedpb_de (zuletzt abgerufen am 11.04.2021). 56 Selmayr, in: Ehmann/Selmayr (Hrsg.) DS-GVO, Art. 68, Rn. 1. 57 Vgl. Art. 70 DSGVO. 58 Vgl. Art. 65 DSGVO; dies wurde auch von der Artikel-29-Datenschutzgruppe ausdrücklich angeregt, vgl. Brief der Artikel-29-Datenschutzgruppe vom 25.09.2015 an Jan Philipp Albrecht, Proposition of Article 29 Working Party regarding the European Data Protection Board Internal Structure, S. 1. 59 Schantz/Wolff, Das neue DatenschutzR, A. Verfassungs- und unionsrechtliche Grundlagen, Rn. 9. 60 Schantz/Wolff, Das neue DatenschutzR, A. Verfassungs- und unionsrechtliche Grundlagen, Rn. 9. 61 Scheurer, Spielerisch Selbstbestimmt, Rechtskonforme Einwilligungserklärungen in Zeiten ubiquitärer Digitalisierung, 2019, S. 68. 62 Zuletzt EuGH, Urteil vom 16. Juli 2020, C-311/18, Facebook Ireland und Schrems, ECLI:EU:C:2020:559, mit der der vielgenutzte Transfermechanismus „Privacy Shield“ für die Übermittlung personenbezogener Daten in die USA für unwirksam erklärt wurde – eine Übergangsfrist oder Schonfrist wurde nicht gewährt. 63 EuGH, Urteil vom 6. November 2003, C-101/01, Lindqvist, EU:C:2003:596, Rn. 50. 64 EuGH, Urteil vom 6. November 2003, C-101/01, Lindqvist, EU:C:2003:596, Rn. 50; vgl. auch Bygrave/Tosoni, in: Kuner/Bygrave/Docksey (Hrsg.), The EU General Data Protection Regulation, 2020, S. 221. 65 EuG, Urteil vom 31. Mai 2005, T-105/03, Dionyssopoulou/Rat, ECLI:EU:T:2005:189, Rn. 33 (nur auf Französisch). In dem Fall enthielt ein Bericht über die Beschwerdeführerin, dass sie aufgrund „persönlicher Einschränkungen“ („constraintes personelles“) nicht uneingeschränkt alle Aufgaben ihres Dienstes durchführen könne, vgl. Rn. 3 des Urteils). 66 Schantz/Wolff, Das neue DatenschutzR, A. Verfassungs- und unionsrechtliche Grundlagen, Rn. 10. 67 Schantz/Wolff, Das neue DatenschutzR, A. Verfassungs- und unionsrechtliche Grundlagen, Rn. 10; EuGH, Urteil vom 6. November 2003, Lindqvist, C-101/01, EU:C:2003:596, Rn. 37; EuGH, Urteil vom 20. Mai 2003, C-465/00, Österreichischer Rundfunk u.a., ECLI:EU:C:2003:294, Rn. 42f.; EuGH, Urteil vom 16. Dezember 2008, C-524/06, Huber, ECLI:EU:C:2008:724, Rn. 51; EuGH, Urteil vom 7. Mai 2009, C-553/07, Rijkeboer, ECLI:EU:C:2009:293, Rn. 56. 68 Schantz/Wolff, Das neue DatenschutzR, A. Verfassungs- und unionsrechtliche Grundlagen, Rn. 10. 69 Die Vielzahl an Erwägungsgründen lässt darauf schließen, wie umstritten die Verordnung im Gesetzgebungsprozess war, vgl. hierzu Kühling/Martini, Die Datenschutz-Grundverordnung: Revolution oder Evolution im europäischen und deutschen Datenschutzrecht?, EuZW 2016, S. 449. 70 So Hoeren, Leiter des Instituts für Informations-, Telekommunikations- und Medienrecht an der Universität Münster, auf dem Euroforum-Datenschutzkongress Berlin im Jahr 2016; vgl. Bericht von Krempel, Datenschutz-Grundverordnung als „größte Katastrophe des 21. Jahrhunderts“, 27. April 2016, Beitrag auf Heise Online, abrufbar unter https://heise.de/-3190299 (zuletzt abgerufen am 11.04.2021). 71 So die ehemalige Bundesdatenschutzbeauftragte Andrea Voßhoff, in: Datenschützer bewerten EU-Grundverordnung als „Meilenstein“, Beitrag auf Heise Online vom 21. April 2016, abrufbar unter http://www.heise.de/-3179872 (zuletzt abgerufen am 11.04.2021). 72 Auf internationaler Ebene wurden Beschreibungen wie „groundbreaking“, „global standard for privacy and data use“ oder „toughest online privacy rules in the world“ verwendet, vgl. m.w.N. Aidinlis, EuCML 2 020, S. 151. 73 Ein Startpunkt findet sich in: Mitteilung der Kommission an das Europäische Parlament und den Rat, Ein Raum der Freiheit, der Sicherheit und des Rechts im Dienste der Bürger, KOM(2009) 262 endg. vom 10. Juni 2009. Demnach soll das Leitmotiv des neuen Mehrjahresprogramms der Europäischen Union unter anderem die Rechte der Bürger fördern, beispielsweise durch einen wirksamen Datenschutz; vgl. S. 5, 9 sowie S. 33, wonach ein Handlungsschwerpunkt die Schaffung einer umfassenden Regelung zum Schutz personenbezogener Daten sein soll, „die für sämtliche Zuständigkeitsbereiche gleichermaßen gilt“. 74 Die EU-Kommission führte ihre erste öffentliche Konsultation von Juli bis Dezember 2009 durch, die zweite folgte von November 2010 bis Januar 2011, vgl. EU-Kommission, Mitteilung der der Kommission an das Europäische Parlament und den Rat – Der Schutz der Privatsphäre in einer vernetzten Welt – Ein europäischer Datenschutzrahmen für das 21. Jahrhundert, vom 25. Januar 2012, KOM/2012/09 endg., S. 3 sowie Artikel-29-Datenschutzgruppe, Die Zukunft des Datenschutzes – Gemeinsamer Beitrag zu der Konsultation der Europäischen Kommission zu dem Rechtsrahmen für das Grundrecht auf den Schutz der personenbezogenen Daten, WP 168, 2009; hierzu auch Hustinx, EU Data Protection Law: The Review of Directive 95/46/EC and the Proposed General Data Protection Regulation, 2013, S. 24ff., abrufbar unter https://edps.europa.eu/data-protection/our-work/publications/speeches-articles/eu-data-protection-lawreview-directive_en (zuletzt abgerufen am 11.04.2021). 75 EU-Kommission, Vergleichende Studie über verschiedene Ansätze zur Bewältigung neuer Herausforderungen für den Schutz der Privatsphäre, insbesondere aufgrund technologischer Entwicklungen, 2010, abrufbar unter https://publications.europa.eu/en/publication-detail/-/publication/9c7a02b9-ecba-405e-8d93-a1a8989f128b (zuletzt abgerufen am 11.04.2021). 76 Artikel-29-Datenschutzgruppe, WP 168, S. 2; Ronellenfitsch, Fortentwicklung des Datenschutzes – Die Pläne der Europäischen Kommission, DuD 2012, S. 561. 77 Vgl. Rat der Europäischen Union, Vermerk, Das Stockholmer Programm – Ein offenes und sicheres Europa im Dienste und zum Schutz der Bürger vom 2. Dezember 2009, Rats-Dok. 17024/09 – Annahme durch den Europäischen Rat am 10./11. Dezember 2009. Im Rahmen des Stockholmer Programms ersuchte der Europäische Rat die EU-Kommission darum, den Rechtsrahmen für Datenschutz in der EU zu evaluieren und Vorschläge für neue gesetzgeberische sowie nicht-legislative Initiativen in dem Bereich vorzulegen, vgl. Europäischer Rat, Das Stockholmer Programm – Ein offenes und sicheres Europa im Dienste und zum Schutz der Bürger, 2010/C 115/01, ABl. C 115 vom 04.05.2010, S. 11. In ihrem Aktionsplan zur Umsetzung des Stockholmer Programms sah die Kommission für das Jahr 2010 gleich mehrere Maßnahmen zum Datenschutz vor, unter anderem einen neuen umfassenden Rechtsrahmen für Datenschutz und eine Mitteilung über Datenschutz und Vertrauen im „Digitalen Europa“, vgl. EU-Kommission, Aktionsplan zur Umsetzung des Stockholmer Programms, KOM(2010) 171 endg. vom 20. April 2010, S. 12. 78 EU-Kommission, KOM(2010) 609 endg., S. 21, von einer Verordnung war zu diesem Zeitpunkt noch nicht die Rede. Dokumente und Überblick über den Verfahrensgang abrufbar unter https://eur-lex.europa.eu/procedure/EN/199818 (zuletzt abgerufen am 11.04.2021). 79 EU-Kommission, Vorschlag für Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung), 25.01.2012, KOM(2012) 11 endg. 80 Vgl. EU-Kommission, KOM(2012) 9 endg., S. 3. 81 EU-Kommission, KOM(2012) 9 endg., S. 7f.; ein vereinheitlichter Rahmen sollte insbesondere kleinsten, kleinen und mittleren Unternehmen beim Marktzutritt zu anderen Mitgliedstaaten dienen; Spiecker gen. Döhmann, Gesundheitsversorgung im Zeitalter der DS-GVO – eine Einführung, in: Spiecker gen. Döhmann/Wallrabenstein (Hrsg.), Gesundheitsversorgung in Zeiten der Datenschutz- Grundverordnung, 2019, S. 15. 82 EU-Kommission, KOM(2012) 9 endg., S. 13. 83 Poullet, Is the general data protection regulation the solution? Computer Law & Security Review (CLSR) 2018, S. 773. 84 Die Verordnung wurde am 04. Mai 2016 im Amtsblatt veröffentlicht (L119); ausführlicher zur Datenschutzreform vgl. Leucker, Die zehn Märchen der Datenschutzreform, PinG 2015, S. 195ff. 85 Art. 99 Abs. 2 DSGVO. 86 Vgl. EU, Interinstitutionelle Regeln für Veröffentlichungen 2011, S. 39, abrufbar unter https://publications.europa.eu/de/publication-detail/-/publication/e774ea2a-ef84-4bf6be92-c9ebebf91c1b/language-de (zuletzt abgerufen am 11.04.2021). 87 Datenbanksuche auf Deutsch nach dem Begriff „Grundverordnung“ im Portal des Amts für Veröffentlichungen der Europäischen Union, abrufbar unter https://eur-lex.europa.eu/ (zuletzt abgerufen am 15.08.2019); ähnlich Tambou, Opening Remarks, in: Mc Cullagh/Tambou/Bourton (Hrsg.), National Adaptations of the GDPR, Collection Open Access Book, Blogdroiteuropeen, 2019, abrufbar unter https://wp.me/p6OBGR-3dP (zuletzt abgerufen am 11.04.2021). 88 Vgl. Kühling/Martini, EuZW 2016, S. 449 m.w.N.; an anderer Stelle ist von ca. 50 Öffnungsklauseln die Rede, vgl. Streinz, Das Datenschutzrecht als Ansatz für Neuerungen des „Kooperationsverhältnisses“ zwischen EuGH und BVerfG, DuD 2020, S. 357. 89 Die EU-Kommission spricht von „Spezifikationsklauseln“, vgl. Antwort auf Parlamentarische Anfragen vom 13. Juli 2018, P-003121/2018(ASW) (Bezugsdokument P-003121/2018); so aber wohl auch schon Nemitz auf der EAID Konferenz in Berlin am 26 Januar 2017, vgl. den Bericht von Kipker, How Much Diversity in Data Protection Law Does Europe Need or Can Afford?, EDPL 3, 2017, S. 231. 90 Vgl. auch Gesetzentwurf der Bundesregierung, Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs-und -Umsetzungsgesetz EU – DSAnpUG-EU), BT-Drs. 18/11325 vom 24.02.2017, S. 73; Mišćenić/Hoffmann, The Role of Opening Clauses in Harmonization of EU Law: Example of The EU’s General Data Protection Regulation (GDPR), in: Duić/Petrašević (Hrsg.), EU and comparative law issues and challenges series (ECLIC), 4 (2020), S. 51. 91 vgl. EU-Kommission, KOM(2012) 11 endg., S. 6; ErwG 9 der DSGVO erläutert, dass zwar Ziele und Grundsätze der DSRL ihre Gültigkeit behalten, aufgrund der unterschiedlichen Richtlinienumsetzung aber Rechtsunsicherheit besteht und, der unionsweite freie Verkehr von Daten behindert werden kann und die Unterschiede im Schutzniveau ein Hemmnis im Wirtschaftsraum darstellen; vgl. auch Poullet, CLSR 2018, S. 774. 92 EU-Kommission, KOM(2012) 11 endg., S. 6; hinsichtlich des Verhältnismäßigkeitsprinzips führt die EU-Kommission lediglich aus, dass sie sich bei Ausarbeitung ihres Vorschlags daran orientiert habe, vgl. S. 7; der erste Entwurf hätte zu einer nahezu vollständigen Harmonisierung geführt, vgl. hierzu Kuner, The European Commission’s Proposed Data Protection Regulation: A Copernican Revolution in European Data Protection Law, Privacy & Security Law Report 2012, S. 14. 93 Kühling/Martini, EuZW 2016, S. 449; Schild/Tinnefeld, Datenschutz in der Union – Gelungene oder missglückte Gesetzentwürfe?, DuD 2012, S. 313. 94 Eckhardt/Kramer/Mester, Auswirkungen der geplanten EU-DS-GVO auf den deutschen Datenschutz, DuD 2013, S. 623; Beschluss des Bundesrates vom 30.03.2012, Drs. 52/12. 95 BT-Drs. 18/11325, S. 73, dort heißt es auch: „Durch die zahlreichen Ausgestaltungsspielräume für den nationalen Gesetzgeber beschränkt bereits der Unionsgesetzgeber selbst die unmittelbare Wirkung“; vgl. auch Kremer, Wer braucht warum das neue BDSG? Auseinandersetzung mit wesentlichen Inhalten des BDSG n.F., CR 2017, S. 368; Mišćenić/Hoffmann, Öffnungsklauseln in der Datenschutz-Grundverordnung (DSGVO): Harmonisierungsmaßnahme oder Harmonisierungshemmer im EU Binnenmarkt?, in: Sander/Pošćić/Martinović (Hrsg.), Exploring the Social Dimension of Europe. Essays in Honour of Nada Bodiroga-Vukobrat, Verlag Dr. Kovac, Hamburg 2021, S. 231–247. 96 Hornung, Sind neue Technologien datenschutzrechtlich regulierbar? Herausforderungen durch “Smart Everything”, in: Roßnagel/Friedewald/Hansen (Hrsg.), Die Fortentwicklung des Datenschutzes – Zwischen Systemgestaltung und Selbstregulierung, 2018, S. 327. 97 Tambou, Opening Remarks, in: Mc Cullagh/Tambou/Bourton (Hrsg.), National Adaptations of the GDPR, S. 25. 98 BT-Drs. 18/11325, S. 73; vgl. hierzu auch Leucker, PinG 2015, S. 196; ausführlicher zur Harmonisierungswirkung, vgl. Mišćenić/Hoffmann, Öffnungsklauseln in der Datenschutz-Grundverordnung (DSGVO): Harmonisierungsmaßnahme oder Harmonisierungshemmer im EU Binnenmarkt?, in: Sander/Pošćić/Martinović (Hrsg.), Exploring the Social Dimension of Europe, S. 231–247; Mišćenić/Hoffmann, The Role of Opening Clauses, ECLIC 2020, S. 44–61. 99 Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 2018, S. 289ff.; Müller, Die Öffnungsklauseln der Datenschutzgrundverordnung – Ein Beitrag zur Europäischen Handlungsformenlehre, 2018, S. 89ff.; Bozkurt, EU-DSGVO und Compliance, Rechtliche und wirtschaftliche Herausforderungen, 2018, S. 17; Kühling et al., Die Datenschutz-Grundverordnung und das nationale Recht – Erste Überlegungen zum innerstaatlichen Regelungsbedarf, 2016, S. 9. 100 Mišćenić/Hoffmann Öffnungsklauseln in der Datenschutz-Grundverordnung (DSGVO): Harmonisierungsmaßnahme oder Harmonisierungshemmer im EU Binnenmarkt?, in: Sander/Pošćić/Martinović (Hrsg.), Exploring the Social Dimension of Europe, S. 231–247. 101 Vgl. hierzu Kühling/Martini et al., Die DS-GVO und das nationale Recht, S. 9; Bozkurt, EU-DSGVO und Compliance, S. 18; Schwartmann/Klein, in: Schwartmann et al. (Hrsg.), DS-GVO/BDSG, Datenschutz-Grundverordnung Bundesdatenschutzgesetz, 2. Aufl. 2020, Art. 6 DSGVO Rn. 195, 2016; ähnlich auch Feiler/Forgó, welche darüber hinaus zwischen echten und unechten Öffnungsklauseln differenzieren, vgl. Feiler/Forgó, EU-DSGVO: EU-Datenschutz-Grundverordnung, 2016, S. 10ff. und auch Feiler, Öffnungsklauseln in der Datenschutz-Grundverordnung – Regelungsspielraum des österreichischen Gesetzgebers, jusIT 2016/93, S. 210ff. 102 BT-Drs. 18/11325, S. 73. 103 Vgl. Feiler/Forgó, EU-DSGVO, S. 10; Mišćenić/Hoffmann Öffnungsklauseln in der Datenschutz-Grundverordnung (DSGVO): Harmonisierungsmaßnahme oder Harmonisierungshemmer im EU Binnenmarkt?, in: Sander/Pošćić/Martinović (Hrsg.), Exploring the Social Dimension of Europe, S. 231–247. 104 Art. 54 DSGVO sieht vor, dass jeder Mitgliedstaat durch Rechtsvorschriften die Errichtung jeder Aufsichtsbehörde, sowie u.a. Qualifikationen, Amtszeit und ggf. Wiederernennung sowie Vorschriften und Verfahren für die Ernennung von Mitgliedern der Aufsichtsbehörde festlegt. 105 Schwartmann/Klein, in: Schwartmann et al. (Hrsg.), DS-GVO/BDSG, Art. 6 DSGVO, Rn. 216. 106 Art. 8 Abs. 1 DSGVO bezieht sich auf die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft; die DSGVO knüpft das Alter für eine wirksame Einwilligung an die Vollendung des sechzehnten Lebensjahres, wobei Mitgliedstaaten diese Grenze absenken dürfen, sofern sie nicht unterhalb der Vollendung des dreizehnten Lebensjahres festgelegt wird; vgl. auch Bozkurt, EU-DSGVO und Compliance, S. 18. 107 Kühling et al., Die DS-GVO und das nationale Recht, S. 9; vgl. auch Bozkurt, EU-DSGVO und Compliance, S. 34; Mišćenić/Hoffmann Öffnungsklauseln in der Datenschutz-Grundverordnung (DSGVO): Harmonisierungsmaßnahme oder Harmonisierungshemmer im EU Binnenmarkt?, in: Sander/Pošćić/Martinović (Hrsg.), Exploring the Social Dimension of Europe, S. 231–247. 108 Über Art. 23 DSGVO können Mitgliedstaaten Pflichten und Rechte gem. Art. 12 bis 22 (Rechte der betroffenen Person), unter den in Art. 23 DSGVO genannten recht umfangreichen Bedingungen (insb. zur Wahrung öffentlicher Interessen) beschränken; Art. 85 DSGVO ermöglicht es den Mitgliedstaaten, Vorgaben der DSGVO mit dem Recht auf Meinungsfreiheit und Informationsfreiheit in Einklang zu bringen; vgl. auch Voigt/von dem Bussche, DSGVO, S. 294. 109 Laut Art. 87 DSGVO können Mitgliedstaaten spezifische Bedingungen für die Verarbeitung nationaler Kennziffern oder Kennzeichen von allgemeiner Bedeutung festlegen. Deutschland hat von dieser Regelung bisher keinen Gebrauch gemacht. 110 Vgl. Voigt/von dem Bussche, DSGVO, S. 290ff.; Mišćenić/Hoffmann Öffnungsklauseln in der Datenschutz-Grundverordnung (DSGVO): Harmonisierungsmaßnahme oder Harmonisierungshemmer im EU Binnenmarkt?, in: Sander/Pošćić/Martinović (Hrsg.), Exploring the Social Dimension of Europe, S. 231–247. 111 Kühling et al., Die DS-GVO und das nationale Recht, S. 9. 112 Art. 88 DSGVO ermöglicht es den Mitgliedstaaten, durch Rechtsvorschriften bzw. Kollektivvereinbarungen spezifischere Vorschriften im Beschäftigtenkontext zu erlassen. Beispielhaft erwähnt Art. 88 DSGVO u.a. Zwecke der Einstellung, Erfüllung des Arbeitsvertrags, Planung und Organisation der Arbeit, Gleichheit und Diversität, Gesundheit und Sicherheit am Arbeitsplatz. Die im Rahmen von Art. 88 DSGVO vorgenommenen Maßnahmen müssen gem. Abs. 3 gegenüber der Kommission mitgeteilt werden; vgl. auch Voigt/von dem Bussche, DSGVO, S. 297ff.; Mišćenić/Hoffmann Öffnungsklauseln in der Datenschutz-Grundverordnung (DSGVO): Harmonisierungsmaßnahme oder Harmonisierungshemmer im EU Binnenmarkt?, in: Sander/Pošćić/Martinović (Hrsg.), Exploring the Social Dimension of Europe, S. 231–247. 113 Aus Art. 9 Abs. 4 DSGVO ergibt sich, dass Mitgliedstaaten durch zusätzliche Bedingungen und Beschränkungen die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten regeln können; vgl. auch Mester, in: Taeger/Gabel (Hrsg.), DSGVO BDSG, 3. Aufl., 2019, Art. 9 Rn. 37. 114 Pötters, in: Gola (Hrsg.), DS-GVO, Art. 1 Rn. 18., m.w.N.; EuGH, Urteil vom 6. November 2003, C-101/01, Lindqvist, ECLI:EU:C:2003:596, Rn. 50 (noch zur DSRL). 115 Pötters, in: Gola (Hrsg.), DS-GVO, Art. 1 Rn. 19. 116 Müller, Die Öffnungsklauseln der DSGVO, S. 123. 117 Maschmann, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 88 Rn. 8. 118 Laue, Öffnungsklauseln in der DS-GVO – Öffnung wohin?, ZD 2016, S. 464. 119 Maschmann, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 88 Rn. 10; instruktiv hierzu auch Müller, Die Öffnungsklauseln der Datenschutzgrundverordnung – Ein Beitrag zur Europäischen Handlungsformenlehre, 2018, S. 127. 120 Maschmann, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 88 Rn. 10; Müller, Die Öffnungsklauseln der DSGVO, S. 211; zur Auslegung von europäischem Sekundärrecht vgl. auch Funke, Dogmatik und Voraussetzungen der datenschutzrechtlichen Einwilligung im Zivilrecht, 2017, S. 189 m.w.N. 121 Funke, Dogmatik und Voraussetzungen der datenschutzrechtlichen Einwilligung im Zivilrecht, S. 198. 122 Funke, Dogmatik und Voraussetzungen der datenschutzrechtlichen Einwilligung im Zivilrecht, S. 189–199 m.w.N. 123 Müller, Die Öffnungsklauseln der DSGVO, S. 215f.; für eine „eher“ restriktive Auslegung Pötters, in: Gola (Hrsg.), DS-GVO, Art. 88 Rn. 3; a.A. Riesenhuber, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 88 Rn. 13; für eine selbstständige Interpretation jeder Öffnungsklausel Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Einleitung, Rn. 230. 124 Müller, Die Öffnungsklauseln der DSGVO, S. 216. 125 Müller, Die Öffnungsklauseln der DSGVO, S. 216. 126 Zum ersten Entwurf vgl. Kuner, The European Commission’s Proposed Data Protection Regulation, Privacy & Security Law Report 2012, S. 14: “For example, because the Proposed Regulation would be directly applicable, it would provide as near complete harmonization as is possible under EU law”. 127 Vgl. Art. 6 Abs. 3 S. 1 lit. b) DSGVO. 128 So auch Riesenhuber, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 88 Rn. 13; sowie Müller, Die Öffnungsklauseln der DSGVO, S. 217; a.A., wonach Öffnungsklauseln grundsätzlich restriktiv auszulegen sind: Culik/Döpke, Zweckbindungsgrundsatz gegen unkontrollierten Einsatz von Big Data-Anwendungen, ZD 2017, S. 229. 129 So auch zuletzt EuGH, Urteil vom 16. Juli 2020, C-311/18, Facebook Ireland und Schrems, ECLI:EU:C:2020:559, Rn. 84. 130 Hierzu auch Spiecker gen. Döhmann, Gesundheitsversorgung im Zeitalter der DS-GVO, in: Spiecker gen. Döhmann/Wallrabenstein (Hrsg.), Gesundheitsversorgung, S. 17. 131 Vgl. Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 6 Rn. 35; Frenzel, in: Paal/Pauly (Hrsg.), DS-GVO BDSG, 3. Aufl. 2021, Art. 6 Rn. 35f.; Reimer, in: Sydow (Hrsg.), Europäische Datenschutzgrundverordnung, 2. Aufl. 2018, Art. 6 Rn. 45f. 132 Dennoch ist die Reichweite der Öffnungsklausel umstritten, hierzu: Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 6 Rn. 35; Kühling/Martini, EuZW 2016, S. 449 sprechen von einer „erhebliche[n] Breitenwirkung“; Roßnagel, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), Art. 6 Abs. 3 Rn. 20 nennt es „erdenklich weit“; hingegen Albrecht/Jotzo, Das neue Datenschutzrecht, 2017, Teil 3 Rn. 46 erkennen „nur scheinbar breite Öffnungsklauseln“. 133 Vgl. Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 6 Rn. 43; als „Querschnittsmaterie des Rechts“ wird das Datenschutzrecht bereits 1977 bezeichnet von Fiedler, in: Gola/Hümmerich/Kerstan (Hrsg.), Datenschutzrecht, Teil I, Vorwort. 134 Vgl. Heberlein, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 6 Rn. 40; Taeger, in: Taeger/Gabel (Hrsg.), DSGVO BDSG, Art. 6 Rn. 127. 135 Der Grundsatz der Zweckkompatibilität bzw. der „zweckvereinbarenden Weiterverarbeitung“ findet sich bereits in Art. 5 Abs. 1 lit. b DSGVO; vgl. auch Roßnagel, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 5, Rn. 96ff.; vgl. zur Kritik an Art. 6 Abs. 4 auch Taeger, in: Taeger/Gabel (Hrsg.), DSGVO BDSG, Art. 6 Rn. 138. 136 Um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist, muss der Verantwortliche nach Art. 6 Abs. 4 DSGVO unter anderem (a) jede Verbindung zwischen den ursprünglichen und den beabsichtigten Zwecken berücksichtigen, sowie (b) den Zusammenhang, in dem die Daten ursprünglich erhoben wurden, (c) ob es sich um personenbezogene Daten nach Art. 9 oder 10 DSGVO handelt, (d) welche möglichen Folgen die Weiterverarbeitung haben kann und (e), geeignete Garantien wie Verschlüsselung und Pseudonymisierung. 137 Ähnlich Buchner/Petri, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 6 Rn. 178–180; Schulz, in: Gola (Hrsg.), DS-GVO, Art. 6 Rn. 203. 138 Art. 6 Abs. 4 DSGVO. Ziele in Art. 23 Abs. 1 DSGVO sind unter anderem die nationale Sicherheit, Landesverteidigung, öffentliche Sicherheit, Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten, Schutz der betroffenen Person oder Rechte und Freiheiten anderer Personen, sowie Durchsetzung zivilrechtlicher Ansprüche. 139 Heberlein, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 6 Rn. 51; Buchner/Petri, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 6 Rn. 179. 140 Ähnlich Taeger, in: Taeger/Gabel (Hrsg.), DSGVO BDSG, Art. 6 Rn. 140. 141 Taeger, in: Taeger/Gabel (Hrsg.), DSGVO BDSG, Art. 6 Rn. 140; vgl. auch BT-Drs. 18/11325 S. 95f. Eine weitere Umsetzung der Öffnungsklausel findet sich in § 40 Abs. 2 BDSG für Aufsichtsbehörden. 142 § 22 BDSG ist eine Umsetzung der Öffnungsklauseln des Art. 9 Abs. 2 DSGVO; hierzu auch BT-Drs. 18/11325 S. 94f. 143 Vgl. Teil 2, B., V. (Zweckänderung bei der Einwilligung) in dieser Arbeit. 144 Kühling/Martini et al., Die DSGVO und das nationale Recht, 2016, S. 49; Schiff, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 9 Rn. 36; Kühling, Datenschutz im Gesundheitswesen, MedR 2019, S. 612. 145 Vgl. auch Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 49, wonach ein pauschaler Ausschluss der Einwilligung mit Rücksicht auf die grundrechtlich garantierte Privatautonomie als kritisch anzusehen wäre. 146 Rogosch, Die Einwilligung im Datenschutzrecht, 2013, S. 191; anders aber bspw. Louis, Grundzüge des Datenschutzrechts, 1981, S. 39, wonach die Verfügungsbefugnis des Einzelnen endet, wo der Kernbereich der Menschenwürde verletzt wird. 147 Bejahend Frenzel, in: Paal/Pauly (Hrsg.), DS-GVO BDSG, Art. 9 Rn. 23; Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 49; verneinend Schiff, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 9 Rn. 36. 148 Schiff, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 9 Rn. 36. 149 Ähnlich Schiff, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 9 Rn. 36. 150 So jedenfalls Schiff, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 9 Rn. 36. 151 So Kühling, MedR 2019, S. 612; a.A. Wobbe, Datenschutz im Gesundheitswesen – Fragestellung aus Sicht der Krankenkassen, MedR 2019, S. 627; Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 9 Rn. 36. 152 Vgl. Kühling, MedR 2019, S. 612; Kühling/Martini et al., Die DS-GVO und das nationale Recht, S. 55. 153 Vgl. Schiff, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 9 Rn. 38; Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 52. 154 Springer Gabler, Gablers Wirtschaftslexikon, Wearables Definition, abrufbar unter https://wirtschaftslexikon.gabler.de/definition/wearables-54088 (zuletzt abgerufen am 11.04.2021); vgl. auch Groß/Schmidt, E-Health und Gesundheitsapps aus medizinethischer Sicht, Bundesgesundheitsbl. 2018, S. 349; die DSGVO adressiert Wearables nicht ausdrücklich, vgl. Leucke, PinG 2015, S. 199; Kühling, MedR 2019, S. 612. 155 Weitere Beispiele in Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 53; Schiff, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 9 Rn. 40; vgl. auch Weichert, Die Verarbeitung von Wearable-Sensordaten bei Beschäftigten, NZA 2017, S. 565; hierzu auch The Economist, The sum of all lives – The coming of the datome vom 14. März 2020. 156 Die ErwG 53 und 54 korrespondieren mit Art. 9 Abs. 2 lit. h DSGVO; vgl. auch Kühling, MedR 2019, S. 612. In ErwG 53 sind Hinweise darauf zu finden, dass eine Vollharmonisierung gescheitert ist, da lediglich von Harmonisierung „im Hinblick auf bestimmte Erfordernisse“ gesprochen wird. 157 Vgl. Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 77, 78; Leucker, PinG 2015, S. 196. 158 Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 79. 159 Vgl. Schulz, in: Gola (Hrsg.), DS-GVO, Art. 9 Rn. 36, Kühling, MedR 2019, S. 612. 160 Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 79; Kühling, MedR 2019, S. 612; Kühling/Martini et al., Die DS-GVO und das nationale Recht, S. 51; Spranger, Die datenschutzrechtliche Einwilligung im Gesundheitskontext: zum Umgang mit genetischen, biometrischen und Gesundheitsdaten, MedR 2017, S. 865. 161 So auch Kühling, MedR 2019, S. 613. 162 So auch Mišćenić/Hoffmann, The Role of Opening Clauses, ECLIC 2020, S. 56f. 163 Schiff, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 9 Rn. 62; Spindler/Dalby, in: Spindler/Schuster (Hrsg.), Recht der elektronischen Medien, Art. 9 Rn. 21. 164 Vgl. auch Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 84; Schulz in: Gola (Hrsg.), DS-GVO, Art. 9 Rn. 41. 165 Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 86; Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), Art. 9 Rn. 101; zu zusätzlichen Regelungen in Deutschland vgl. Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 9 Rn. 150–154. 166 Hierzu Ducato, Data protection, scientific research, and the role of information, CLSR 2020, 105412, S. 5; Pormeister, Genetic data and the research exemption: is the GDPR going too far? International Data Privacy Law (IDPL) 2017, S. 137–146. Belgien hat im Rahmen der Evaluierung der DSGVO den Zusammenhang zwischen Art. 9 Abs. 2 lit. j DSGVO und Art. 89 Abs. 1 DSGVO als widersprüchlich bemängelt und um Klarstellung gebeten, vgl. Rat der EU, Generalsekretariat des Rates, Preparation of the Council position on the evaluation and review of the General Data Protection Regulation (GDPR) – Comments from Member States, vom 09. Oktober 2019, ST 12756 2019 REV 1 S. 4. 167 Hierzu z.B. Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 9 Rn. 150ff.; Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 9 Rn. 101ff.; Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 97ff. 168 Art. 9 Abs. 4 DSGVO lautet in der englischen Fassung: „Member States may maintain or introduce further conditions, including limitations, with regard to the processing of genetic data, biometric data or data concerning health”. 169 Kampert, in: Sydow (Hrsg.), Europäische DSGVO, Art. 9 Rn. 59. 170 Vgl. hierzu Kühnl/Rohrer/Schneider, Ein europäischer Gesundheitsdatenschutz, ZD 2018, S. 740; verneinend Schulz, in: Gola (Hrsg.), DS-GVO, Art. 9 Rn. 48; ebenso Spindler/Dalby, in: Spindler/Schuster (Hrsg.), Recht der elektronischen Medien, Art. 9 Rn. 27. 171 So auch Kühnl/Rohrer/Schneider, ZD 2018, S. 740; so auch Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 9 Rn. 101; Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 99. 172 Kampert, in: Sydow (Hrsg.), Europäische DSGVO, Art. 9 Rn. 61; Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG Art. 9 Rn. 150; Kühnl/Rohrer/Schneider, ZD 2018, S. 740. 173 Hierzu auch Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 99. 174 Pauly, in: Paal/Pauly (Hrsg.), DS-GVO BDSG, Art. 89 Rn. 1; Raum, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 89 Rn. 1. 175 Vgl. Hense, in: Sydow (Hrsg.), Europäische DSGVO, Art. 89 Rn. 1. 176 Pauly, in: Paal/Pauly (Hrsg.), DS-GVO BDSG, Art. 89 Rn. 17; Art. 89 Abs. 2 betrifft wissenschaftliche Zwecke, historische Zwecke und Forschungszwecke, Art. 89 Abs. 3 betrifft im öffentlichen Interesse liegende Archivzwecke, im Übrigen unterscheiden sich die Absätze nur darin, dass unter Abs. 3 auch Ausnahmen von Art. 19 und Art. 20 DSGVO gemacht werden dürfen. 177 Allerdings bestehen Abweichungsmöglichkeiten nach Art. 17 Abs. 3 lit. d DSGVO, vgl. Raum, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 89 Rn. 8; Caspar, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), Art. 89 Rn. 45. 178 Ähnlich European Data Protection Supervisor (EDPS), A Preliminary Opinion on data protection and scientific research vom 06. Januar 2020, S. 19, abrufbar unter https://edps.europa.eu/sites/edp/files/publication/20-01-06_opinion_research_en.pdf (zuletzt abgerufen am 11.04.2021). 179 Vgl. auch Ducato, CLSR 2020, 105412, S. 6. 180 Vgl. unter der DSRL in Art. 2 lit. a)-h) und unter der DSGVO in Art. 4 Nr. 1–26. 181 Vgl. auch Hofman/Johannes, DS-GVO: Anleitung zur autonomen Auslegung des Personenbezugs, ZD 2017, S. 222. 182 Schild, in: Wolff/Brink (Hrsg.), BeckOK DatenschR, Art. 4 Rn. 28; Klabunde, in: Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 4 Rn. 12. 183 Dem Wortlaut nach unterscheidet sich die Definition in Art. 4 Nr. 1 DSGVO kaum von ihrem Vorgänger in Art. 2 lit. a DSRL. 184 Hofman/Johannes, ZD 2017, S. 225; hierzu mit Blick auf genetische Daten und Personenbezug auch Pormeister, Genetic research and consent: On the crossroads of human and data research, Bioethics 2019, S. 349. 185 Karg, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), Art. 4 Nr. 1 Rn. 48, 49. 186 Karg, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), Art. 4 Nr. 1 Rn. 48, 49. 187 Statt vieler: Ernst, in: Paal/Pauly (Hrsg.), DS-GVO BDSG, Art. 4 Rn. 8–13; Schild, in: Wolff/Brink (Hrsg.), BeckOK DatenschR, Art. 4 Rn. 14–21a; Gola, in: Gola (Hrsg.), DS-GVO, Art. 4 Rn. 16–22; Pohl, Die datenschutzrechtliche Einwilligung im Spannungsfeld von hoheitlicher Regulierung und individueller Selbstbestimmung, 2019, S. 22ff. 188 In diese Richtung argumentierend Niemann/Kevekordes, Machine Learning und Datenschutz (Teil 1), CR 2020, S. 19. 189 Der Anwendungsbereich der DSGVO erstreckt sich auf pseudonyme Daten, aber nicht auf anonyme Daten; vgl. hierzu auch Winter/Battis/Halvani, Herausforderungen für die Anonymisierung von Daten, ZD 2019, S. 489ff.; Roßnagel, Pseudonymisierung personenbezogener Daten, ZD 2018, S. 243ff. 190 Hofman/Johannes, ZD 2017, S. 223; zum absoluten Verständnis auch: vgl. Kühling/Klar, Unsicherheitsfaktor Datenschutzrecht – Das Beispiel des Personenbezugs und der Anonymität, NJW 2013, S. 3616; Roßnagel/Kroschwald, Was wird aus der Datenschutzgrundverordnung?, ZD 2014, S. 497; zum relativen Verständnis vgl. Herbst, Was sind personenbezogene Daten?, NVwZ 2016, S. 905. 191 EU-Kommission, KOM(2012) 11 endg., S. 47. 192 Rat der Europäischen Union, Standpunkt (EU) Nr. 6/2016 des Rates in erster Lesung im Hinblick auf den Erlass der Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Angenommen vom Rat am 8. April 2016, ABl. C 159 vom 3.5.2016, S. 33. 193 Vgl. Karg, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), Art. 4 Nr. 1 Rn. 61. 194 Instruktiv: Hofman/Johannes, ZD 2017, S. 221–226; EuGH, Urteil vom 19. Oktober 2016, C-582/14, Breyer, ECLI:EU:C:2016:779; ähnlich auch Poullet, CLSR 2018, S. 776; umfassend zum absoluten und relativen Personenbezug auch Scheurer, Spielerisch Selbstbestimmt, S. 91. 195 Art. 2 Abs. 1 DSGVO; Roßnagel, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 4 Nr. 2 Rn. 1. 196 Roßnagel, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 4 Nr. 2 Rn. 2, 3. 197 Vgl. Herbst, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 4 Rn. Nr. 2 Rn. 4; Martens, Anwendungsbereich des Entwurfs der Datenschutz-Grundverordnung im öffentlichen Bereich, PinG 2015, S. 214. 198 So Bock auf dem IT-Juristinnentag am 24.10.2019 in Berlin (die Autorin war anwesend); dies ergibt sich auch aus den Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the Regulation des EDSA, dort S. 15 (Rn. 51). 199 Schild, in: Wolff/Brink (Hrsg.), BeckOK DatenschR, Art. 4 Rn. 136; Gola in: Gola (Hrsg.), DS-GVO, Art. 4 Rn. 95. 200 Miño-Vásquez, The Protection of Genetic Data under the General Data Protection Regulation, DuD 2019, S. 156. 201 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 4 Nr. 13 Rn. 3; Schild in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 4 Rn. 138. 202 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 4 Nr. 13 Rn. 3; zum herausragenden Schutzbedürfnis genetischer Daten vgl. auch Pormeister, The GDPR and big data: Leading the way for big genetic data? in: Schweighofer et al. (Hrsg.), Privacy Technologies and Policy, 2017, S. 10f. 203 Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 4 Nr. 13 Rn. 13; Klabunde in Ehmann/Selmayr (Hrsg.), DS-GVO, Art. 4 Rn. 59. 204 Vgl. Duden-Wörterbuch, abrufbar unter https://www.duden.de/rechtschreibung/Physiologie (zuletzt abgerufen am 11.04.2021). 205 Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 4 Nr. 13 Rn. 14. 206 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 4 Nr. 13 Rn 5. 207 Vgl. hierzu Malenkovich, Das gefälschte Ich: Können wir biometrischer Authentifizierung vertrauen? Abrufbar unter https://www.kaspersky.de/blog/das-gefalschte-ichkonnen-wir-biometrischer-authentifizierung-vertrauen/1533/ (zuletzt abgerufen am 11.04.2021). 208 Ernst, in: Paal/Pauly (Hrsg.), DSGVO BDSG, Art. 4 Rn. 102. 209 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 4 Nr. 14 Rn. 3. 210 Gola, in: Gola (Hrsg.), DS-GVO, Art. 4 Rn. 96; Spindler/Dalby, in: Spindler/Schuster (Hrsg.), Recht der elektronischen Medien, Art. 4 Rn. 30. 211 S.o. Teil 1, A., II., 3. lit. c (genetische Daten) in dieser Arbeit. 212 A.A Kampert, in: Sydow (Hrsg.), Europäische DSGVO, Art. 4 Rn. 188, der diesen Teil der Definition als überflüssig (weil wiederholend) erachtet. 213 EU-Kommission, KOM(2012) 11 endg., S. 48; vgl. auch Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 4 Nr. 15 Rn. 1. 214 Dies entspricht auch der Definition der World Health Organisation (WHO), wonach Gesundheit ein Zustand von Wohlbefinden ist und nicht bloß die Abwesenheit von Krankheit, vgl. WHO-Verfassung („Constitution adopted by the International Health Conference, New York, 19 June to 22 July 1946, signed on 22 July 1946 by the representatives of 61 States (Off. Rec. Wld Hlth Org., 2, 100), and entered into force on 7 April 1948”, dort heißt es in der Einleitung: „Health is a state of complete physical, mental and social well-being and not merely the absence of disease or infirmity.“, Constitution of the World Health Organization, abrufbar unter https://apps.who.int/gb/bd/PDF/bd47/EN/constitution-en.pdf (zuletzt abgerufen am 11.04.2021); vgl. auch Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 4 Nr. 15 Rn. 1; Schild, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 4 Rn. 143; Artikel-29-Datenschutzgruppe, ANNEX – Health Data in Apps and Devices, S. 2; für eine weite Auslegung des Begriffs auch Leutheusser-Schnarrenberger, Der Begriff der Gesundheitsdaten ist weit zu fassen, PinG 2015, S. 220. 215 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, Art. 4 Nr. 15 Rn. 4; Artikel-29-Datenschutzgruppe, ANNEX – Health Data in Apps and Devices, 2015, S. 4; hierzu auch Kühnl/Rohrer/Schneider, ZD 2018, S. 737. 216 Vgl. hierzu auch Arning/Rothkegel, in: Taeger/Gabel (Hrsg.), DSGVO BDSG, 3. Aufl. 2019, Art. 4 Rn. 339–341; Mathes/Krohm, Der Schutz von Gesundheitsdaten im Gefüge rechtlicher Auslegungsspielräume auf nationaler und europäischer Ebene, PinG 2015, S. 49; Petri, in: Simitis/Hornung/Spiecker gen. Döhmann (Hrsg.), DatenschR, Art. 4 Nr. 15 Rn. 4; die Mittelbarkeit bejahend Gola, in: Gola (Hrsg.), DS-GVO, Art. 4 Rn. 97. 217 Vgl. auch Wachter/Mittelstadt, A Right to Reasonable Inferences: Re-Thinking Data Protection Law in the Age of Big Data and AI, Columbia Business Law Review, Vol. 2019, Issue 2, abrufbar unter https://ssrn.com/abstract=3248829 (zuletzt abgerufen am 11.04.2021). 218 Vgl. Schneider, Schließt Art. 9 DS-GVO die Zulässigkeit der Verarbeitung bei Big Data aus?, ZD 2017, S. 303; so auch Leutheusser-Schnarrenberger, PinG 2015, S. 220; Mathes/Krohm, PinG 2015, S. 49. 219 Vgl. hierzu z.B. Singer, Google Promises Privacy With Virus App but Can Still Collect Location Data, The New York Times vom 20. Juli 2020, abrufbar unter https://nyti.ms/3fZdhVz (zuletzt abgerufen am 11.04.2021); Sandei, Tracing Apps, Digital Health and Consumer Protection, EuCML 2 020, S. 156ff.; Bradford/Aboy/Liddell, COVID-19 contact tracing apps: a stress test for privacy, the GDPR, and data protection regimes, Journal of Law and the Biosciences 2020, S. 1–21. Die COVID-19-App Frankreichs speichert Standortdaten für 30 Tage, vgl. OECD, Tracking and tracing COVID: Protecting privacy and data while using apps and biometrics, abrufbar unter http://www.oecd.org/coronavirus/policy-responses/tracking-and-tracing-covid-protecting-privacy-and-data-while-using-apps-and-biometrics-8f394636/ (zuletzt abgerufen am 11.04.2021). 220 Vgl. Krebsinformationsdienst, Deutsches Krebsforschungszentrum, Wie läuft eine Chemotherapie ab?, abrufbar unter https://www.krebsinformationsdienst.de/behandlung/chemotherapie/durchfuehrung.php (zuletzt abgerufen am 11.04.2021). 221 Vgl. von Kieseritzky, Die Chemotherapie, ONKO Internetportal, abrufbar unter https://www.krebsgesellschaft.de/onko-internetportal/basis-informationen-krebs/therapieformen/chemotherapie.html (zuletzt abgerufen am 11.04.2021). 222 Vgl. Petri, in: Simitis/Hornung/Spiecker gen. Döhmann (Hrsg.), DatenschR, Art. 4 N. 15 Rn. 4, der auf den Verwendungszusammenhang abstellt; ähnlich Kühnl/Rohrer/Schneider, ZD 2018, S. 737 mit Beispielen einer Patientenkartei von Gesundheitseinrichtungen (HIV-Klinik, Fruchtbarkeitsklinik) oder Teilnahme an Behandlungsprogrammen bei chronischen Krankheiten; vgl. auch The Economist, Personalised medicine, – Populations of one, Technology Quarterly vom 14. März 2020, S. 4: „Almost 4bn people carry smartphones that can monitor physical acticity”. 223 Vgl. hierzu auch Schickert/Schweiger/Schuppert, in: Sassenberg/Faber (Hrsg.), Rechtshandbuch Industrie 4.0 und Internet of Things, 2. Aufl. 2020, § 15 Rn. 89ff. 224 Ernst, in: Paal/Pauly (Hrsg.), DS-GVO, Art. 4 Nr. 15 Rn. 109. 225 Hallinan/Friedewald, Open consent, biobanking and data protection law: can open consent be ‘informed’ under the forthcoming data protection regulation?, Life Sciences, Society and Policy 2015, S. 8; vgl. zu Biobanken auch Gallwas, Biobanken aus grundrechtlicher Sicht, MedR 2019, S. 360–262. 226 Hierzu auch Georgieva/Kuner, in: Kuner/Bygrave/Docksey (Hrsg.), The EU GDPR, S. 373. 227 Schneider, ZD 2017, S. 305; Poullet versteht die Begrifflichkeit dahingehend, dass es im Bereich der sensitiven Daten auf die Verarbeitung selbst ankommt, die die Sensitivität der Daten manifestiert, vgl. Poullet, CLSR 2018, S. 776, dort Fn. 10. 228 Umgekehrt wird argumentiert, dass sich Gesundheitsdaten nicht sicher anonymisieren lassen – wenn also Gesundheitsdaten vorliegen, lässt sich auch eine Person dazu indirekt identifizieren, vgl. Coppen et al., Will the trilogue on the EU Data Protection Regulation recognise the importance of health research?, European Journal of Public Health, S. 757. 229 Schneider, ZD 2017, S. 305; vgl. auch Petri, in: Simitis/Hornung/Spiecker gen. Döhmann (Hrsg.), DatenschR, Art. 4 N. 15 Rn. 4; a.A. VG Mainz, Urteil vom 20. Februar 2020, Az. 1 K 467/19.MZ, wonach allein aufgrund einer „abstrakten Möglichkeit“ dass Rückschlüsse auf die Gesundheit eines Menschen gezogen werden können, diese Informationen noch nicht zu Gesundheitsdaten werden. Dabei ging es um Informationen aus einem Tierbehandlungsvertrag und der Tatsache, dass bei manchen Tierkrankheiten eine Übertragung auf den Menschen nicht ausgeschlossen werden kann. 230 Vgl. Ernst, in: Paal/Pauly (Hrsg.), DS-GVO, Art. 4 Nr. 15 Rn. 108. 231 Petri, in: Simitis/Hornung/Spieker gen. Döhmann (Hrsg.), DatenschR, Art. 4 N. 15 Rn. 5. 232 Vgl. ErwG 35 DSGVO; Ernst, in: Paal, Pauly, DSGVO BDSG, Art. 4 Rn. 108. 233 In Artikel-29-Datenschutzgruppe, ANNEX – Health Data in Apps and Devices 2015, S. 3, heißt es: “These types of data processing may create risks, including the risk of unfair treatment based on data about a person’s assumed or actual health status”. 234 Vgl. ErwG 26 in: EU-Kommission, KOM(2012) 11 endg., S. 24; unverändert übernommen durch: EU-Parlament, P7_TA(2014)0212 Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (allgemeine Datenschutzverordnung) (COM(2012)0011 — C7-0025/2012 — 2012/0011(COD)) P7_TC1-COD(2012)0011 Standpunkt des Europäischen Parlaments festgelegt in erster Lesung am 12. März 2014 im Hinblick auf den Erlass der Verordnung (EU) Nr. .../2014 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung), ABl. C 378 vom 9.11.2017, S. 404. 235 So auch Bitter, in: Hoeren/Sieber/Holznagel (Hrsg.), Multimedia-Recht, 54. EL, April 2020, Teil 15.4 Rn. 11 m.w.N. 236 Danach beschreibt ErwG 35 Gesundheitsdaten als solche Daten, „die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen“; dafür, dass auch Zahlungsdaten Gesundheitsdaten sein können, plädiert Bitter in: Hoeren/Sieber/Holznagel (Hrsg.), Multimedia-Recht, 52. EL, April 2020, Teil 15.4, Rn. 11. 237 Vgl. Art 9 DSGVO und Art. 32 DSGVO. 238 Frenzel, in: Paal/Pauly (Hrsg.), DS-GVO BDSG Art. 9 Rn. 1, 9; die Diskussion fand bereits unter der DSRL statt, vgl. nur Kosta, Consent in European Data Protection Law, S. 98, Meier, Der rechtliche Schutz patientenbezogener Gesundheitsdaten, 2003, S. 56; Kollek, in: Anzinger/Hamacher/Katzenbeisser (Hrsg.), Schutz genetischer, medizinischer und sozialer Daten als multidisziplinäre Aufgabe, 2013, S. 11ff.; Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 8. 239 Albers/Veit, in: Wolff/Brink (Hrsg.), BeckOK DatenschutzR, Art. 9 Rn. 8 sehen jedoch eine „Ausprägung des risikobasierten Ansatzes“. 240 Artikel-29-Datenschutzgruppe, ANNEX – Health Data in Apps and Devices 2015. 241 EuGH, Urteil vom 6. November 2003, C-101/01, Lindqvist, ECLI:EU:C:2003:596, Rn. 51. 242 Vgl. EuG, Urteil vom 31. Mai 2005, T-105/03, Dionyssopoulou/Rat, ECLI:EU: T:2005:189, Rn. 33, 34. 243 Hierzu ausführlich: Artikel-29-Datenschutzgruppe, ANNEX – Health Data in Apps and Devices 2015. 244 Vgl. hierzu bereits Teil 1, A. II. 2. e. bb. (6) (Bedingungen und Beschränkungen für die Verarbeitung von genetischen Daten, biometrischen Daten oder Gesundheitsdaten) in dieser Arbeit. 245 Ausweislich der ErwG 9 und 10 DSGVO stellen Unterschiede im Schutzniveau ein Hemmnis für die Ausübung von Wirtschaftstätigkeiten dar und das Schutzniveau sollte in allen Mitgliedstaaten gleichwertig sein. Gemäß ErwG 13 DSGVO ist dies ein Grund, warum die Form der Verordnung gewählt wurde. 246 Beispielsweise § 22 Abs. 2 BDSG, welcher einen nicht abschließenden Katalog an technischen und organisatorischen Maßnahmen enthält; vgl. auch Paschke, in: Specht/Mantz (Hrsg.), Handbuch Europäisches und deutsches Datenschutzrecht, 2019, § 13 Rn. 32; für eine weite Auslegung auch Bygrave/Tosoni, in: Kuner/Bygrave/Docksey (Hrsg.), The EU GDPR, S. 343. Mit Blick auf negative Auswirkungen von abgeleiteten Daten in der Corona-Pandemie auch Škiljić, Health Data (‘Data Concerning Health’), Inferences – an Unexplored Volcano Eager to Erupt Post COVID-19 Crisis, Aligning Inferences with GDPR Principles?, European Law Institute 2021. 247 Zur Schutzgutdebatte vgl. nur Veil, Die Schutzgutmisere des Datenschutzrechts – Teil I, CRonline.de Blog vom 6. Februar 2019, abrufbar unter https://www.cr-online.de/blog/2019/02/06/die-schutzgutmisere-des-datenschutzrechts-teil-i/ (zuletzt abgerufen am 11.04.2021). 248 Vgl. ErwG 10, 51 und 93 DSGVO. 249 In der englischen Fassung wird von „sensitive data“ und in der französischen Fassung von „données sensibles“ gesprochen. 250 So wohl Albrecht/Jotzo, Das neue DatenschutzR, 2017, Teil 3 Rn. 57. 251 Vgl. auch Schneider, ZD 2017, S. 303.