Ratgeber - "Forschen" mit Art.9-Daten

Thomas Reisinger | 01.March 2021

Artikelinhalt

Forschen? Noch dazu mit sensiblen Gesundheitsdaten? Und vermutlich dann auch noch in Kombination mit Weiterleitung an Dritte? Und das in Zeiten von DSGVO? Das geht doch nicht! Oder doch?
JA! Das geht!
Und wie das geht lesen Sie hier!

Unlängst haben wir vom Team DSGVO.CARE uns mit der praktischen Frage auseinandersetzen müssen, ob man als Arztpraxis/Labor/etc... denn sensible Daten zu Forschungs- und Studienzwecken an andere Labore/Praxen/etc... weiterleiten kann (besser: darf!).

Zu aller erst die Antwort

In Kürze.
Ja! JA! Das darf man!

Die längere Antwort: Ja, das darf man! Die Daten müssen aber bitte schön pseudonymisiert sein.

Anmerkung: Und pseudonymisiert heißt hierbei, dass es aus Sicht des Empfängers nicht möglich sein darf, dass dieser wieder personenbezogene Daten daraus herstellen kann.

Die Begründung für diese Antwort:
Eigentlich sieht die DSGVO ja vor, dass Daten, welche für einen bestimmten Zweck erhoben worden sind nicht ohne weiteres für andere Zwecke verwendet werden dürfen (Zweckbindung). Will man jetzt Daten, welche man zum Beispiel in seiner Rolle als Hausarzt zwecks Patientenbehandlung aufgenommen hat jetzt plötzlich für andere Zwecke verwenden (zum Beispiel für Newsletterversand) dann geht das nicht so ohne weiteres, da man eine neue Rechtsgrundlage braucht.

Bei weniger sensiblen personenbezogenen Daten kann man sich hier meist mit der Interessensabwägung (berechtigtem Interesse) Abhilfe schaffen. Man muss sich hierbei mit der Frage beschäftigen, ob die weitere Verarbeitung der Daten in Form der Zweckänderung im berechtigten Interesse des Verantwortlichen liegt. Hierbei gilt, dass die vom Verantwortlichen verfolgten Interessen nicht geringer sein dürfen als die Interessen, Rechte und Freiheiten der betroffenen Personen.
Genau genommen darf man sogar ein wenig weiter gehen, da die DSGVO die Grenze erst dann zieht, wenn die Interessen, Rechte und Freiheiten der betroffenen Personen "eindeutig" höher wiegen. Im Detail ist das schwierig zu bestimmen, aber wofür hat man denn seine Datenschutz-Experten, oder?

Wenn es aber um Daten nach Art 9 DSGVO geht wird die Sachlage komplizierter, denn wie jeder findige Datenschutzrechtler weiß gibt es diese Form der Interessensabwägung nicht bei sensiblen Art 9 Daten.

So pauschal stimmt das aber auch nicht! In Bezug auf die Forschung gibt es hier auf Basis von Art 89 DSGVO eine Privilegierung, welche eine Zweckänderung hinsichtlich Forschung erleichtert. Genau genommen handelt es sich hierbei um eine Öffnungsklausel, sodass der nationale Gesetzgeber eine Regelung treffen kann, aber wir wollen jetzt mal nicht kleinlich sein und die gefühlt 100.000 einzelnen Gesetzesbestimmungen im österreichischen Recht hierzu heraussuchen, denn leider haben wir das nicht im DSG geregelt, sondern in so gut wie jedem einzelnem Materiengesetz.

Und was erlaubt diese schöne Bestimmung?

Ja wie schon erwähnt: man darf Art. 9 Daten zu Forschungszwecken auf Basis berechtigter Interessen weiterverarbeiten und somit auch an andere Stellen versenden.

Bedenken muss man jedoch folgendes:

1. es muss zu Forschungszwecken dienen

2. die Daten sind jedenfalls zu pseudonymisieren (und zwar in so einer Art und Weise, dass der Empfänger keinen Personenbezug mehr herstellen kann).