Müssen Unternehmen im medizinischen Umfeld bei Datenschutzthemen besondere Bestimmungen beachten?

Geändert am Mi, 8 Okt um 4:23 NACHMITTAGS

Grundsatz

Grundsätzlich reicht hier die Information in der Datenschutzerklärung von PrivacyBee aus. Bei der Verarbeitung von Gesundheitsdaten sind aber zusätzliche Anforderungen zu beachten, welche nicht innerhalb einer Datenschutzerklärung adressiert werden können. Insbesondere im Anwendungsbereich der DSGVO ist in diesem Fall meist eine ausdrückliche Einwilligung notwendig, welche der Verantwortliche einzuholen hat.

Erklärung
Im Spezifischen bedeutet das, dass es im Gesundheitsbereich zur Verarbeitung besonderer Kategorien personenbezogener Daten kommen kann (insbesondere solcher Informationen, die Rückschlüsse auf den Gesundheitszustand der betroffenen Personen zulassen).

Nach dem Schweizer Datenschutzgesetz (DSG) ist die Verarbeitung solcher Daten unter Einhaltung der Bearbeitungsgrundsätze grundsätzlich zulässig. Insbesondere dürfen diese auch durch sogenannte Auftragsverarbeiter verarbeitet werden. Mittels der Datenschutzerklärung von PrivacyBee wird insbesondere der Transparenzgrundsatz adressiert.

Die Datenschutzerklärung von Privacy Bee weist ausdrücklich auf die Möglichkeit hin, besondere Kategorien personenbezogener Daten zu verarbeiten, sofern diese durch die betroffenen Personen offengelegt werden (Ziff. 3.2). Sie umfasst zudem die potenzielle Weitergabe an Dienstleister.

Hinsichtlich der grundsätzlichen Verarbeitung und der Weitergabe von Daten an Auftragsbearbeiter werden die rechtlichen Anforderungen durch die Datenschutzerklärung von PrivacyBee somit erfüllt. Besondere Aufmerksamkeit ist aber bei der Weitergabe von Daten an Dritte (also keine Auftragsverarbeiter) und im Anwendungsbereich der DSGVO gefordert:

Weitergabe an Dritte

Die Weitergabe besonderer Kategorien personenbezogener Daten an Dritte kann eine Persönlichkeitsverletzung darstellen, sofern diese nicht auf einer gültigen Einwilligung oder einem anderweitigen Rechtfertigungsgrund beruht. Nicht als Dritte im Sinne des DSG gelten Auftragsbearbeiter (z. B. IT-Dienstleister, Cloud-Anbieter). Gegenüber diesen dürfen auch besondere Kategorien personenbezogener Daten weitergegeben werden. Die Verantwortung für den Nachweis eines Rechtfertigungsgrundes bei der Weitergabe von Daten an solche Dritte liegt beim Kunden.

DSGVO

Im Anwendungsbereich der DSGVO gilt zusätzlich, dass jeder Verarbeitungsschritt (auch intern) eine Rechtsgrundlage erfordert. In der Regel ist dies eine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Daher ist sicherzustellen, dass Betroffene der Datenverarbeitung, beispielsweise durch das Ankreuzen eines Kästchens, ausdrücklich zustimmen.