Teil 5: Checkliste und Anhänge

7 Checkliste

1 .Wurde der Datenschutzbeauftragte einbezogen?

2. Ist eine Datenschutz-Folgenabschätzung erforderlich?

Indizien, die für die Erforderlichkeit einer DSFA sprechen, sind insbesondere:

• Einsatz neuer Technologien, zu denen der Verantwortliche noch keine DSFA durchführte
• Neue Verarbeitungsvorgänge, zu denen der Verantwortliche noch keine DSFA durchführte
• Verarbeitung großer Datenmengen
• Verarbeitung der Daten einer hohen Anzahl von Personen
• Verarbeitung von Daten der besonderen Kategorien entsprechend Art. 9 DS-GVO
• Profiling/Scoring
• Erschwerte Rechtsausübung für die betroffenen Personen
• Systematische Verarbeitungen
• Öffentliche Überwachung

 Eine DSFA ist nicht erforderlich, weil

• …

3. Werden bei der Durchführung der DSFA alle relevanten Gesichtspunkte berücksichtigt? Bei der Durchführung der DSFA sollten insbesondere die folgenden Punkte berücksichtigt werden:

• Vorgaben der Aufsichtsbehörden insbesondere des Europäischen Datenschutz-Ausschusses
• Ähnliche Verarbeitungsvorgänge, für welche bereits eine DSFA existiert oder die bei der aktuellen durchzuführenden DSFA mit berücksichtigt werden sollten
• Rechtsgrundlage(n) bzgl. Verarbeitung
• Berücksichtigung wirtschaftlicher/ökonomischer Gesichtspunkte

4. Entspricht die DSFA formal den Anforderungen der DS-GVO? Die DSFA sollte mindestens beinhalten:

• Systematische Beschreibung der Verarbeitungsvorgänge
• Systematische Beschreibung der Verarbeitungszwecke (ggf. einschließlich berechtigter Interessen)
• Prüfung der Notwendigkeit und Verhältnismäßigkeit
• Prüfung der Folgen bei einer Weitergabe an Dritte
• Wahrung/Einschränkung Betroffenenrechte
• Bewertung der Risiken
• Einbeziehung betroffener Personen bzw. Personengruppen/Vertreter
• Darstellung der Abhilfemaßnahmen/Maßnahmen zur Risikominimierung
• Abschließende Bewertung
• Entscheidung bzgl. Information/Einbeziehung der Aufsichtsbehörde

5. Ist die DSFA hinreichend dokumentiert, dass Externe sowohl die relevanten Risikofaktoren als auch die Entscheidung prüfen können?

Anhang 1 Umsetzungsbeispiele

Hier finden sich Hinweise zur konkreten Ausgestaltung der Dokumentation der DSFA.

Hinsichtlich nachfolgend aufgeführter Beispiele ist zu beachten, dass je nach Verarbeitung ggf. eine Mehrfachnennung notwendig ist, z. B. weil eine Verarbeitung zugleich mehrere Zwecke bedient oder mehrere Datenarten benötigt. 

Anhang 1.1: Beispiele für die Darstellung der Datenarten

(Hinsichtlich weitergehender Ausführungen siehe Kapitel 3.1)

1. Identifizierende Daten

a. Sozialversicherungsnummer
b. Personalausweisnummer
c. Reisepassnummer
d. Führerschein-ID
e. Kreditkartennummer
f. Krankenversicherungsnummer
g. Patient-ID aus Informationssystem (ggf. benennen aus welchem)
h. Andere (spezifizieren)

2. Stammdaten

a. Name/Vorname
b. Geburtsname
c. Geburtsdatum
d. Geburtsort
e. Geschlecht
f. Alter
g. Religionszugehörigkeit
h. Anschrift
i. Kontaktdaten (Telefon, Fax, E-Mail, …)
j. Ethnische Zugehörigkeit
k. Ausbildung
l. Titel
m. Krankenkasse
n. Andere (spezifizieren)

3. Beschäftigtendaten

a. Gelernte(r) Beruf(e)
b. Ausgeübter Beruf
c. Job-Beschreibung
d. Dienstliche Anschrift
e. Dienstliche Kontaktdaten (Telefon, Fax, E-Mail, …)
f. Gehalt/Vergütung
g. Bisheriges Arbeitsleben (bisherige Arbeit- bzw. Auftraggeber, …)
h. Zugehörigkeit zu Berufsverbänden oder anderen Organisationen
i. Andere (spezifizieren)

4. Biometrische Daten

a. Fingerprint
b. Handflächen-Scan
c. Stimmerkennung
d. Fotos (Gesicht)
e. Besondere Kennzeichen (Narben, Tätowierungen, …)
f. Gefäß-Scan
g. Retina/Iris-Scan
h. DNA-Profil
i. Andere (spezifizieren)

5. Administrative Daten

a. User-ID
b. IP-Adresse
c. Datum/Uhrzeit von Zugriffen (An-/Abmelden vom System, Zugriff auf bestimmte Daten)

6. Gesundheitsdaten

a. Physiologische Auffälligkeiten
b. Allgemeine Gesundheitsdaten (z. B. von Fitness-Trackern)
c. Klinische Informationen

7. Andere Informationen

a. Spezifizieren

Anhang 1.2: Beispiele für Verarbeitungszwecke

1. Administrative Zwecke
2. Aus- und Weiterbildung

a. Studierende in der Gesundheitsversorgung
b. Auszubildende in der Gesundheitsversorgung
c. Ärztliches Personal
d. Nicht-ärztliches medizinisches Personal
e. Administratives Personal

3. Gesundheitsversorgung

a. Ambulante Versorgung
b. Klinische Versorgung
c. Notfallversorgung
d. Öffentliches Gesundheitsmanagement
e. Überwachung der öffentlichen Gesundheit, Krankheitsbekämpfung

4. Nutzung durch die behandelte Person

a. Selbstversorgung und Pflege der eigenen Gesundheit
b. Wellness-Management und Lebensstilplanung
c. Häusliche Pflege
d. Information von Familie und/oder interessierten Dritten über die Krankengeschichte (Z. B. Einholung einer Zweitmeinung)
e. Übergabe der Gesundheitsversorgung an einen anderen Erbringer (z. B. zum Zwecke der Nach- oder Weiterbehandlung)
f. Für Anforderungen aus Anstellungsverfahren (z. B. Einstellungsuntersuchungen, Impfstatus)
g. Für Anforderungen aus Einwanderungsverfahren
h. Für Anforderungen aus Reisen in andere Länder (z. B. Impfnachweis)

5. Forschung

a. Durchführung von klinischen Versuchen, für die eine Zustimmung erforderlich ist
b. Durchführung von populationsbasierten Forschungen,
c. Durchführung von Rekrutierungsmaßnahmen für klinische Versuche oder sonstige Forschungsstudien

6. Qualitätssicherung von Gesundheitsdienstleistungen

a. Interne Qualitätssicherung
b. Externe Qualitätssicherung

7. Juristische Zwecke

a. Gefahrenabwehr
b. Rechtstreit
c. Strafverfolgung
d. Zivilrechtliche Zwecke

8. Eigene Zwecke

a. Abrechnung erbrachter Gesundheitsdienstleistungen
b. Marktstudien
c. Personalmanagement
d. Werbung

9. Ggf. andere

a. …

Anhang 1.3: Erlaubnistatbestände

(Hinsichtlich weitergehender Ausführungen zur Rechtmäßigkeit einer Datenverarbeitung siehe Kapitel 3.2.1)

In der DS-GVO existieren unterschiedliche Erlaubnistatbestände, die teilweise nebeneinander zu betrachten sind.

Art. 6 DS-GVO regelt die „Rechtmäßigkeit der Verarbeitung“ im Allgemeinen sofern „normale“ Daten verarbeitet werden, z. B. Mitarbeiterdaten im Rahmen eines Berechtigungskonzeptes bzw. dessen Umsetzung in einem Informationssystem. Art. 9 DS-GVO regelt die „Verarbeitung besonderer Kategorien personenbezogener Daten“ im Speziellen und trägt damit der besonderen Sensibilität dieser Daten Rechnung. Letzteres wird insbesondere an erhöhten Rechtmäßigkeitsvoraussetzungen deutlich.

Im Folgenden werden in einer exemplarischen Übersicht die Regelungen nebst Beispielen dargestellt, welche Verarbeitung unter welchen Tatbestand zu subsumieren ist.

1. Einwilligung der betroffenen Person

(Art. 6 Abs. 1 lit. a bzw. Art. 9 Abs. 2 lit. a DS-GVO)

2. Gesetzlicher Erlaubnistatbestand

a. Daten, auf die Art. 6 DS-GVO zutrifft

i. Zur Vertragserfüllung notwendig (Art. 6 Abs. 1 lit. b DS-GVO)

ii. Zur Erfüllung einer rechtlichen Verpflichtung, welcher der Verantwortliche unterliegt, erforderlich

(Art. 6 Abs. 1 Lit. c DS-GVO)

iii. Erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen

(Art. 6 Abs. 1 lit. d DS-GVO)

iv. Verarbeitung liegt im öffentlichen Interesse oder erfolgt in Ausübung öffentlicher Gewalt

(Art. 6 Abs. 1 lit. e DS-GVO)

v. Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen nicht

(Art. 6 Abs. 1 lit. f DS-GVO)

b. Besondere Kategorien von personenbezogenen Daten

i. Patientenbehandlung

(Art. 9 Abs. 2 lit. h i. V. m. Art. 9 Abs. 3 DS-GVO i. V. m. § 630a ff. BGB)

Zu beachten: Art. 9 Abs. 2 lit. h DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs erfolgt

ii. Weitergabe von Daten an Mit-/Nachbehandler (Art. 9 Abs. 2 lit. h i. V. m. Art. 9 Abs. 3 DS-GVO)

Zu beachten: Art. 9 Abs. 2 lit. h DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs beruht

iii. Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben (Art. 9 Abs. 2 lit. c DS-GVO)
iv. Abrechnung von Leistungen

(Art. 9 Abs. 2 lit. f, h DS-GVO i. V. m. z. B. § 301 SGB V)

v. Qualitätssicherung der Patientenversorgung

(Art. 9 Abs. 2 lit. i DS-GVO i. V. m. § 299 SGB V i. V. m. § 136 SGB V bzw. den Richtlinien des G-BA)

Zu beachten: Art. 9 Abs. 2 lit. i DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats beruht

vi. Gesetzlich geregelte Krankheitsregister (Art. 9. Abs. 2 lit. h, i DS-GVO)

Zu beachten: Art. 9 Abs. 2 lit. h DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs beruht

vii. Gesundheitsstatistik des Bundes und der Länder (Art. 9 Abs. 2 lit. j i. V. m. Art. 89 Abs. 1 DS-GVO)

Zu beachten: Art. 9 Abs. 2 lit. j DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats beruhtArbeitsmedizinische Untersuchung

(Art. 9 Abs. 2 lit. b, h i. V. m. Art. 9. Abs. 3 DS-GVO) Zu beachten:

− Art. 9 Abs. 2 lit. b DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten beruht

− Art. 9 Abs. 2 lit. h DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs beruht

ix. Untersuchung durch Gesundheitsamt

(Art. 9. Abs. 2 lit. i DS-GVO i. V. m. z. B. § § 6, 8 IfSG)

Zu beachten: Art. 9 Abs. 2 lit. i DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats beruht

x. Impfungen in Schule usw. durch Ämter (Art. 9. Abs. 2 lit. i DS-GVO)

Zu beachten: Art. 9 Abs. 2 lit. i DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats beruht

xi. Verteidigung der behandelnden Person vor Gericht (Art. 9 Abs. 2. lit. f DS-GVO)

xii. Wissenschaftliche u. historische Forschung

(Art. 9 Abs. 2 lit. j i. V. m. Art. 89 Abs. 1 DS-GVO i. V. m. Regelungen in deutschen Gesetzen wie bspw. Landeskrankenhausgesetzen, Arzneimittelgesetz Medizinproduktegesetz usw.)

Zu beachten: Art. 9 Abs. 2 lit. j DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats beruht

xiii. Gesetzlich vorgeschriebene Archivierung zu historischen Zwecken (Art. 9 Abs. 2 lit. j i. V. m. Art. 89 Abs. 1 DS-GVO)

Zu beachten: Art. 9 Abs. 2 lit. j DS-GVO bedingt u. a., dass die Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats beruht

xiv. Verarbeitung von seitens der betroffenen Person öffentlich zugänglich gemachten Daten

(Art. 9 Abs. 2 lit. e DS-GVO)

Das in Art. 9 Abs. 2 lit. h, i, j DS-GVO angesprochene „Recht eines Mitgliedstaats“ kann in Deutschland durch die Spezialgesetzgebungen z. B. aus den Sozialgesetzbüchern, dem Arzneimittel-oder Medizinproduktegesetz gegeben sein, wenn diese Gesetze den Anforderungen der DS-GVO genügen. Gleiches gilt für landesrechtliche Regelungen, wie sie z. B. in den Landeskrankenhausgesetzen zu finden sind. Auch diese können – sofern die Regelungen den Anforderungen der DS-GVO genügen – Erlaubnistatbestände i.S.d. Art. 9 Abs. 4 DS-GVO darstellen.

Anhang 1.4: Beispiele für Risiken und Ursachen aus der DS-GVO

(Hinsichtlich weitergehender Ausführungen zum Begriff des Risikos siehe Kapitel 3.2.3)

ErwGr. 75 führt beispielhaft einige Risiken auf, die bei einer Datenschutz-Folgenabschätzung berücksichtigt werden sollten:

ErwGr. 83 benennt ebenfalls verschiedene Risiken, die berücksichtigt werden sollen:

− Vernichtung personenbezogener Daten

− Verlust personenbezogener Daten

− Veränderung personenbezogener Daten

− Unbefugte Offenlegung personenbezogener Daten

− Unbefugter Zugang zu personenbezogenen Daten

Dabei ist es unerheblich, ob die Risiken durch eine beabsichtigte, unbeabsichtigte oder auch unrechtmäßige Handlung entstehen. D. h. der Verantwortliche muss im Rahmen der Datenschutzfolgenabschätzung auch unrechtmäßige Handlungen berücksichtigen.

Anhang 1.5: Beispiele für Risiken aus dem IT-Einsatz

(Hinsichtlich weitergehender Ausführungen zum Begriff des Risikos siehe Kapitel 3.2.3) 

Bundesverband Gesundheits-IT e. V.; Deutsche Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie e. V.; Arbeitskreis „Datenschutz und IT-Sicherheit im Gesundheitswesen“; Deutsche Krankenhausgesellschaft e. V.

Creative Commons, https://creativecommons.org/licenses/by-sa/4.0/deed.de; CC BY-SA 4.0

Abgerufen am 17.09.2019 von https://www.gesundheitsdatenschutz.org/download/dsfa_2019-09-17.pdf