Verarbeitung besonderer Kategorien personenbezogener Daten: Gesundheitsdaten, biometrische Daten und ausdrückliche Einwilligung

Eingang

Einer der sensibelsten Bereiche des Datenschutzrechts die Verarbeitung besonderer Kategorien personenbezogener Daten. Denn die Offenlegung bestimmter Daten könnte zu Diskriminierung, sozialer Stigmatisierung, Beeinträchtigungen im Berufsleben, Verletzung der Privatsphäre oder schwerwiegenden Beeinträchtigungen führen. Daher sieht das Gesetz Nr. 6698 zum Schutz personenbezogener Daten einen strengeren Schutz für besondere Kategorien personenbezogener Daten im Vergleich zu allgemeinen personenbezogenen Daten vor.

Gesundheitsdaten, biometrische Daten, genetische Daten, Informationen aus dem Strafregister, Gewerkschaftszugehörigkeit, religiöse Überzeugungen, politische Meinungen, ethnische Herkunft und Informationen zum Sexualleben fallen in diesen Rahmen. Beispielsweise können Bluttestergebnisse, Schwangerschaftsinformationen, psychiatrische Behandlungsverläufe, Behindertenberichte, Fingerabdrücke, Gesichtserkennungsdaten, Handabdrücke oder Netzhautscans als besondere Kategorien personenbezogener Daten gelten.

Die Datenschutzbehörde definiert besondere Kategorien personenbezogener Daten als Daten, deren Kenntnisnahme zu Diskriminierung oder Schaden für die betroffene Person führen könnte, und legt fest, dass diese Daten deutlich strenger geschützt werden müssen als andere personenbezogene Daten. Das Gesetz regelt besondere Kategorien personenbezogener Daten durch eine restriktive Aufzählung; das heißt, diese Kategorie kann nicht analog erweitert werden.

Dieser Artikel erläutert detailliert, was besondere Kategorien personenbezogener Daten ausmacht, unter welchen Bedingungen Gesundheitsdaten und biometrische Daten verarbeitet werden dürfen, wann eine ausdrückliche Einwilligung erforderlich ist, welche Fehler Arbeitgeber und Unternehmen am häufigsten begehen, auf welche Probleme Gesundheitsorganisationen achten sollten und welche Sanktionen im Falle einer unrechtmäßigen Verarbeitung drohen.

Was sind besondere Kategorien personenbezogener Daten?

Besondere Kategorien personenbezogener Daten sind solche, die die Privatsphäre einer Person unmittelbarer berühren und deren unrechtmäßige Verarbeitung schwerwiegendere Folgen haben kann. Das Gesetz nennt eine begrenzte Anzahl besonderer Kategorien personenbezogener Daten. Dazu gehören: Daten über die Rasse, ethnische Herkunft, politische Meinung, philosophische Überzeugung, Religion, Konfession oder sonstige Weltanschauung einer Person, Aussehen und Kleidung, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherheitsmaßnahmen, biometrische Daten und genetische Daten.

Diese Daten erfordern besonderen Schutz, da sie ein höheres Risiko bergen als gewöhnliche Kontakt- oder Identitätsdaten. Beispielsweise kann die Weitergabe einer Telefonnummer eine Datenschutzverletzung darstellen; die Weitergabe von HIV-Testergebnissen, psychiatrischen Behandlungsverläufen, genetischen Krankheitsrisiken oder Gewerkschaftszugehörigkeiten kann jedoch weitaus schwerwiegendere Folgen haben. Die betroffene Person könnte ihren Arbeitsplatz verlieren, aus ihrem sozialen Umfeld ausgegrenzt werden, Diskriminierung erfahren oder ernsthafte Verletzungen ihrer Privatsphäre erleiden.

Daher genügt bei der Verarbeitung besonderer Kategorien personenbezogener Daten die bloße Aussage „Wir haben die Einwilligung der betroffenen Person eingeholt“ nicht. Der Zweck der Datenverarbeitung muss klar definiert, die Rechtsgrundlage korrekt gewählt, die Informationspflicht erfüllt, die Datenminimierung sichergestellt, die Speicherdauer festgelegt und die vom Vorstand vorgesehenen angemessenen Maßnahmen getroffen werden.

Besondere Datenverarbeitungsbedingungen nach den Änderungen von 2024

Eine der wichtigsten jüngsten Entwicklungen im Bereich der Verarbeitung besonderer Kategorien personenbezogener Daten ist die Änderung von Artikel 6 des Gesetzes Nr. 6698 durch das Gesetz Nr. 7499. Die Datenschutzbehörde gab bekannt, dass das am 12. März 2024 im Amtsblatt veröffentlichte Gesetz Nr. 7499 Artikel 6 zur Verarbeitung besonderer Kategorien personenbezogener Daten ändert und die bestehenden Bedingungen für die Datenverarbeitung ergänzt. Im Anschluss an diese Änderungen veröffentlichte die Behörde einen „Leitfaden zur Verarbeitung besonderer Kategorien personenbezogener Daten“ für Verantwortliche für die Datenverarbeitung.

Nach geltenden Vorschriften ist die Verarbeitung besonderer Kategorien personenbezogener Daten nicht ausschließlich von einer ausdrücklichen Einwilligung abhängig. In bestimmten gesetzlich festgelegten Fällen können diese Daten auch ohne ausdrückliche Einwilligung verarbeitet werden. Zu diesen Fällen zählen: ausdrückliche gesetzliche Bestimmungen; der Schutz des Lebens oder der körperlichen Unversehrtheit einer Person, die aufgrund tatsächlicher Unmöglichkeit nicht einwilligungsfähig ist; die Verarbeitung gemäß den von der betroffenen Person selbst offengelegten Daten; die Notwendigkeit zur Geltendmachung, Ausübung oder zum Schutz von Rechtsansprüchen; Zwecke im Zusammenhang mit Gesundheitsdiensten und der öffentlichen Gesundheit; sowie arbeitsrechtliche und arbeitsschutzbezogene Verpflichtungen.

Für Unternehmen und Institutionen ist es derzeit von größter Bedeutung, die korrekte Rechtsgrundlage für jede einzelne Verarbeitungstätigkeit besonderer Kategorien personenbezogener Daten zu ermitteln. Beispielsweise kann ein vom Arbeitgeber eingeholter Gesundheitsbericht eines Arbeitnehmers aus Gründen des Arbeitsschutzes oder zur Erfüllung arbeitsrechtlicher Pflichten erforderlich sein. Nimmt derselbe Arbeitgeber jedoch die Fingerabdrücke eines Arbeitnehmers ausschließlich zur Zeiterfassung, wird dies ganz anders bewertet. Ebenso unterliegt die Verarbeitung von Gesundheitsdaten durch eine Gesundheitseinrichtung zur Diagnose und Behandlung eines Patienten nicht denselben rechtlichen Grundlagen wie die Verarbeitung von Krankengeschichten durch eine Versicherung zur Risikoanalyse.

Was sind Gesundheitsdaten?

Gesundheitsdaten umfassen alle Informationen, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen. Beispiele hierfür sind Bluttestergebnisse, Röntgenbilder, Verschreibungsinformationen, Diagnoseberichte, Operationsgeschichte, eingenommene Medikamente, Gutachten zur Behinderung, psychiatrische Gutachten, Schwangerschaftsinformationen, genetische Krankheitsrisiken, Behandlungspläne, Krankenhausprotokolle und Laborergebnisse.

Gesundheitsdaten zählen zu den sensibelsten Kategorien personenbezogener Daten. Die Offenlegung von Gesundheitsinformationen kann schwerwiegende Folgen für das Berufsleben, die familiären Beziehungen, das soziale Umfeld oder Versicherungsangelegenheiten einer Person haben. Daher sind höchste Sicherheitsstandards bei der Verarbeitung, Speicherung, Übermittlung und Löschung von Gesundheitsdaten erforderlich.

Nach dem französischen Datenschutzgesetz (KVKK) gelten Gesundheitsdaten in der Regel als besondere Kategorien personenbezogener Daten. Das Gesetz sieht vor, dass diese Daten von Einzelpersonen oder autorisierten, zur Vertraulichkeit verpflichteten Institutionen und Organisationen zum Schutz der öffentlichen Gesundheit, zur Prävention, zur medizinischen Diagnose, Behandlung und Pflege sowie zur Planung, Verwaltung und Finanzierung von Gesundheitsleistungen verarbeitet werden dürfen.

Daher müssen Krankenhäuser, Kliniken, Ärzte, Zahnärzte, Labore, Apotheken, Betriebsärzte, Versicherungen, Sportzentren, Kosmetikstudios und Personalabteilungen bei der Verarbeitung von Gesundheitsdaten äußerst sorgfältig vorgehen. Nicht jede Verarbeitung von Gesundheitsdaten basiert auf denselben Rechtsgrundlagen. Jede einzelne Tätigkeit sollte separat geprüft werden.

Dürfen Gesundheitsdaten ohne ausdrückliche Einwilligung verarbeitet werden?

Ja, in bestimmten Fällen können Gesundheitsdaten auch ohne ausdrückliche Einwilligung verarbeitet werden. Dies setzt jedoch voraus, dass eine der gesetzlich festgelegten Bedingungen erfüllt ist. Beispielsweise kann die Verarbeitung von Gesundheitsdaten zum Zwecke der Untersuchung eines Patienten, der Diagnosestellung, der Durchführung einer Behandlung, der Auswertung von Testergebnissen und der Planung von Gesundheitsleistungen für Angehörige der Gesundheitsberufe oder autorisierte, zur Schweigepflicht verpflichtete Einrichtungen ohne ausdrückliche Einwilligung zulässig sein.

Werden Gesundheitsdaten hingegen für kommerzielle Marketingzwecke, Werbung, die Weitergabe an Dritte, die unnötige Speicherung durch den Arbeitgeber, Analysen für spezifische Zwecke oder eine Nutzung, die nicht mit der Art der Dienstleistung zusammenhängt, verarbeitet, ist eine ausdrückliche Einwilligung oder eine andere gültige Rechtsgrundlage erforderlich. Die Tatsache, dass Gesundheitsdaten „bereits vom Patienten erhoben wurden“, bedeutet nicht, dass sie für jeden beliebigen Zweck verwendet werden dürfen.

Beispielsweise ist es etwas anderes, wenn ein privates Krankenhaus die Testergebnisse eines Patienten mit dem behandelnden Arzt teilt, als wenn dieselben Testergebnisse versehentlich per E-Mail an einen unbeteiligten Dritten gesendet werden. In seinem Beschluss vom 20. Mai 2020 (Aktenzeichen 2020/407) stellte die Datenschutzbehörde fest, dass Testergebnisse besondere Kategorien personenbezogener Daten im Gesundheitsbereich darstellen und deren Übermittlung an Dritte ohne Rechtsgrundlage rechtswidrig ist. Das Krankenhaus wurde daraufhin mit einer Geldbuße belegt.

Diese Entscheidung ist wichtig, da sie zeigt, dass selbst die Verteidigung mit dem Argument der „versehentlichen Übermittlung“ von Gesundheitsdaten nicht immer von der Verantwortung befreit. Gesundheitsorganisationen müssen besondere Sicherheitsmaßnahmen in den Bereichen E-Mail, SMS, Patientenportal, Laborintegration, Callcenter und physischer Datenaustausch ergreifen.

Was sind biometrische Daten?

Biometrische Daten sind Daten, die aus den einzigartigen physiologischen oder verhaltensbezogenen Merkmalen einer Person gewonnen werden und deren Identifizierung oder Verifizierung dienen. Fingerabdrücke, Gesichtserkennungsdaten, Iris-, Netzhaut-, Handflächen- und Venenmuster sind Beispiele für physiologische biometrische Daten. Gangart, Tipptechnik, Druck beim Unterschreiben, Nutzung von Smartphones oder Fahrverhalten zählen zu den verhaltensbezogenen biometrischen Daten. Die Entscheidung des Gremiums zu biometrischen Signaturen besagt außerdem, dass sich biometrische Daten im Allgemeinen auf Daten beziehen, die lebenslang unverändert bleiben und persönliche Merkmale einer Person beschreiben.

Die Bedeutung biometrischer Daten liegt in ihrer Unwiderrufbarkeit. Wird ein Passwort gestohlen, kann es geändert werden; werden Kreditkartendaten kompromittiert, kann die Karte gesperrt werden; Fingerabdrücke, Gesichtszüge oder Netzhautinformationen hingegen sind unveränderlich. Daher zählt die Verarbeitung biometrischer Daten gemäß dem französischen Datenschutzgesetz (KVKK) zu den risikoreichsten Tätigkeiten im Bereich der personenbezogenen Datenverarbeitung.

Biometrische Daten werden zunehmend am Arbeitsplatz zur Zeiterfassung, zur Kontrolle des Gebäudezugangs, für Fitnessstudio-Mitgliedschaften, zur Identitätsprüfung in Gesundheitseinrichtungen, im Bankwesen und für elektronische Signaturen eingesetzt. Dass diese Systeme praktisch, schnell oder sicher erscheinen, bedeutet jedoch nicht, dass sie stets rechtskonform sind. Notwendigkeit, Verhältnismäßigkeit und Datenminimierung müssen gemäß dem französischen Datenschutzgesetz (KVKK) gesondert geprüft werden.

Ist die Erfassung der Arbeitszeit mithilfe von Fingerabdruck- und Gesichtserkennung legal?

Der Einsatz von Systemen wie Fingerabdruck-, Gesichts-, Iris- oder Handflächenscannern zur Zeiterfassung am Arbeitsplatz ist seit Langem ein kontroverses Thema. Arbeitgeber möchten diese Systeme möglicherweise nutzen, um die Anwesenheitskontrolle ihrer Mitarbeiter zu erleichtern, Identitätsdiebstahl zu verhindern und digitale Aufzeichnungen zu erstellen. Diese Zwecke bedeuten jedoch nicht, dass die Verarbeitung biometrischer Daten in allen Fällen rechtmäßig ist.

In ihrer Bekanntmachung zum Grundsatzbeschluss vom 29. April 2026 mit der Nummer 2026/921 äußerte sich die Datenschutzbehörde sehr deutlich zur Verarbeitung biometrischer Daten zur Arbeitszeiterfassung. Die Behörde stellte fest, dass Systeme wie Fingerabdruck-, Gesichts-, Iris- und Netzhautscans sensible Bereiche darstellen und dass das Machtungleichgewicht im Verhältnis zwischen Arbeitnehmer und Arbeitgeber ernsthafte Zweifel daran aufkommen lässt, ob eine ausdrückliche Einwilligung auf freiem Willen beruht.

In derselben Mitteilung wurde betont, dass die Gesetzgebung zwar Bestimmungen zur Arbeitszeitüberwachung enthält, jedoch keine explizite Regelung existiert, die diese Überwachung mittels biometrischer Daten vorsieht. Der Vorstand erklärte außerdem, dass die Verarbeitung biometrischer Daten zur Arbeitszeitüberwachung allein auf Grundlage einer ausdrücklichen Einwilligung in der Regel keine ausreichende Rechtsgrundlage darstelle und dass die Verarbeitung biometrischer Daten den Grundsatz der Verhältnismäßigkeit nicht gewährleisten könne, wenn alternative, weniger eingreifende Methoden zur Verfügung stünden.

Dieser Ansatz ist für Arbeitgeber von entscheidender Bedeutung. Stehen weniger aufdringliche Methoden zur Zeiterfassung von Mitarbeitern zur Verfügung, wie beispielsweise verschlüsselte Karten, PINs, RFID-/NFC-Karten, herkömmliche Unterschriftenlisten oder manuelle Kontrollen unter Aufsicht eines Vorgesetzten, kann die Umstellung auf Fingerabdruck- oder Gesichtserkennungssysteme rechtliche Risiken bergen. Selbst bei ausdrücklicher Einwilligung ist fraglich, ob diese Einwilligung freiwillig und im Rahmen des Arbeitsverhältnisses erteilt wurde.

Ist ausdrückliche Zustimmung immer ausreichend?

Nein. Die ausdrückliche Einwilligung ist zwar eine wichtige Rechtsgrundlage für die Verarbeitung sensibler personenbezogener Daten, aber nicht in allen Fällen ausreichend. Damit eine ausdrückliche Einwilligung gültig ist, muss sie sich auf einen konkreten Sachverhalt beziehen, auf einer informierten Einwilligung beruhen und freiwillig erfolgen. Darüber hinaus muss die Datenverarbeitung auch bei ausdrücklicher Einwilligung den allgemeinen Grundsätzen des französischen Datenschutzgesetzes (KVKK) entsprechen.

An dieser Stelle ist der Grundsatz der Verhältnismäßigkeit im Hinblick auf biometrische Daten besonders wichtig. Die Erfassung von Fingerabdrücken, Gesichtsbildern oder Handgeometrien stellt einen gravierenden Eingriff dar. Lässt sich derselbe Zweck mit weniger drastischen Methoden wie Karten-, Passwort- oder Identitätsprüfung erreichen, kann die Verarbeitung biometrischer Daten als unverhältnismäßig gelten. Der Grundsatzbeschluss des Gremiums aus dem Jahr 2026 stellte zudem fest, dass selbst mit ausdrücklicher Einwilligung die Verarbeitung biometrischer Daten zur Arbeitszeiterfassung dem Kriterium der Verhältnismäßigkeit nicht genügt.

Die ausdrückliche Einwilligung, insbesondere im Verhältnis zwischen Arbeitgeber und Arbeitnehmer, sollte sorgfältig abgewogen werden. Ein Arbeitnehmer könnte sich aus Angst vor Arbeitsplatzverlust oder Benachteiligung gezwungen sehen, seine Einwilligung zu erteilen. Daher könnte die Aussage „Wer keine Fingerabdrücke abgibt, kann nicht arbeiten“ oder „Wer das Gesichtserkennungssystem nicht akzeptiert, hat keinen Zutritt“ den Vorwurf begründen, dass die ausdrückliche Einwilligung nicht auf freiem Willen beruht.

Beispiele für Vorstandsentscheidungen bezüglich biometrischer Daten

Die Entscheidungen des Ausschusses zur Verarbeitung biometrischer Daten sind wichtig, um die Grenzen ihrer Anwendung aufzuzeigen. Beispielsweise kam der Ausschuss in seiner Entscheidung vom 7. Juli 2022 mit der Nummer 2022/662, die die Verarbeitung von Handgeometriedaten durch ein Unternehmen für den Zutritt zu dessen Geschäftsgebäude betraf, zu dem Schluss, dass Handgeometriedaten zum Zweck der biometrischen Authentifizierung verarbeitet werden und besondere Kategorien personenbezogener Daten darstellen.

In der gleichen Entscheidung wurde festgestellt, dass die ausdrückliche Einwilligung der betroffenen Person nicht eingeholt wurde und dass keine ausreichenden Informationen über Umfang, Zweck, Grenzen und Folgen der Verarbeitung personenbezogener Daten bereitgestellt wurden; daher wurde gegen den Verantwortlichen für die Datenverarbeitung eine Geldbuße verhängt, weil er biometrische Daten verarbeitet hatte, ohne eine der in Artikel 6 des Gesetzes festgelegten Verarbeitungsbedingungen zu erfüllen.

Diese Entscheidung zeigt, dass Unternehmen sich nicht mit technischen Erklärungen wie „Wir nehmen keine Fingerabdrücke, sondern nur Handmaße“ ihrer Verantwortung entziehen können. Wenn das System die Identität einer Person automatisch anhand ihrer physiologischen Merkmale überprüft, ist die Wahrscheinlichkeit einer biometrischen Datenverarbeitung sehr hoch. In diesem Fall muss der Datenverantwortliche nicht nur die Aussage des technischen Anbieters, sondern auch die tatsächliche Funktionsweise des Systems prüfen.

Informationspflicht hinsichtlich besonderer Kategorien von Daten

Die Informationspflicht ist auch bei der Verarbeitung sensibler personenbezogener Daten wichtig. Die betroffene Person muss klar wissen, welche sensiblen personenbezogenen Daten verarbeitet werden, zu welchem ​​Zweck, auf welcher Rechtsgrundlage, von wem, an wen sie übermittelt werden und wie lange.

Eine allgemeine, abstrakte und vage Informationserklärung ist unzureichend. Beispielsweise genügt die Aussage „Ihre Gesundheitsdaten können im Rahmen der Leistungserbringung verarbeitet werden“ allein nicht. Stattdessen muss erläutert werden, welche Gesundheitsdaten für welchen Prozess verarbeitet werden. Wird im Bewerbungsprozess ein Gesundheitsbericht angefordert, muss angegeben werden, warum dieser für die jeweilige Stelle erforderlich ist. Werden Informationen über regelmäßige Gesundheitsuntersuchungen von Mitarbeitern erhoben, muss die Rechtsgrundlage hierfür im Rahmen der arbeitsschutzrechtlichen Bestimmungen dargelegt werden.

In seiner Entscheidung bezüglich der unrechtmäßigen Verarbeitung personenbezogener und sensibler personenbezogener Daten von Arbeitnehmern durch den Arbeitgeber stellte der Vorstand fest, dass die von den Arbeitnehmern eingeholten Einwilligungsformulare einen sehr weiten Umfang hatten, die Datenkategorien und Verarbeitungszwecke vage blieben, Fingerabdrücke nicht einmal zu den Datenkategorien zählten und ob die ausdrückliche Einwilligung auf freiem Willen beruhte, im Verhältnis zwischen Arbeitgeber und Arbeitnehmer sorgfältig geprüft werden müsse.

Daher sollten für sensible personenbezogene Daten separate Informationshinweise und Einwilligungserklärungen erstellt werden. Informationshinweise dienen der Aufklärung des Betroffenen, während die Einwilligung eine Willenserklärung darstellt. Der Betroffene sollte klar darüber informiert werden, wozu er seine Einwilligung erteilt, welche Folgen eine Verweigerung der Einwilligung hat, ob er seine Einwilligung widerrufen kann und zu welchem ​​Zweck seine Daten verwendet werden.

Besondere Kategorien von Daten können nur unter Einhaltung angemessener Sicherheitsvorkehrungen verarbeitet werden

Das bloße Vorliegen einer Rechtsgrundlage reicht für die Verarbeitung sensibler personenbezogener Daten nicht aus. Das Gesetz verlangt zudem, dass angemessene, vom Datenschutzbeauftragten festgelegte Maßnahmen ergriffen werden. In seinem Beschluss vom 31. Januar 2018 (Nr. 2018/10) stellte der Datenschutzbeauftragte fest, dass separate Richtlinien und Verfahren für die Sicherheit sensibler personenbezogener Daten einzurichten, Mitarbeiter zu schulen, Vertraulichkeitsvereinbarungen zu treffen, Zugriffsrechte zu definieren, physische und elektronische Sicherheitsmaßnahmen zu ergreifen und sichere Methoden wie Verschlüsselung, KEP, VPN und SFTP bei Datenübertragungen anzuwenden sind.

Unternehmen, Gesundheitseinrichtungen, Arbeitgeber und Dienstleister, die sensible personenbezogene Daten verarbeiten, sollten sich daher nicht auf die reine Texterstellung beschränken. Es müssen technische und organisatorische Maßnahmen umgesetzt werden. Beispielsweise bergen die Speicherung von Gesundheitsberichten in einem für alle zugänglichen, gemeinsam genutzten Ordner, der unbefugte Zugriff auf Fingerabdruckdaten, das Versenden von Testergebnissen über ungesicherte E-Mails, die Aufbewahrung von Patientenakten in offenen Schränken oder die unnötig lange Speicherung biometrischer Daten erhebliche Risiken im Sinne des französischen Datenschutzgesetzes (KVKK).

Als angemessene Maßnahmen sollten Zugriffsrechte eingeschränkt, Protokolle geführt, Daten verschlüsselt, unbefugter Zugriff überwacht, physische Archive geschützt, Datenübertragungsprozesse gesichert und eine separate Aufbewahrungs- und Vernichtungsrichtlinie für sensible Daten festgelegt werden.

Punkte, die für Organisationen im Gesundheitswesen zu berücksichtigen sind

Krankenhäuser, Kliniken, Labore, Zahnärzte, Psychologen, Psychiater, Apotheken und private Gesundheitszentren verarbeiten große Mengen an Gesundheitsdaten. Für diese Einrichtungen ist die Verarbeitung von Gesundheitsdaten oft ein wesentlicher Bestandteil ihrer Dienstleistungen. Dies bedeutet jedoch nicht, dass Gesundheitsdaten uneingeschränkt verarbeitet oder weitergegeben werden dürfen.

Organisationen im Gesundheitswesen müssen Patientenregistrierung, Terminvergabe, Labordienstleistungen, Integration von E-Health-Systemen, Verschreibungspraxis, Abrechnung, Bildgebung, Rezeptbearbeitung, Callcenter und Patientenkommunikationsprozesse separat analysieren. Für jeden Prozess muss ermittelt werden, welche Gesundheitsdaten verarbeitet werden, wer darauf zugreift, in welchem ​​System sie gespeichert, an wen sie übermittelt und wie lange sie aufbewahrt werden.

Der Versand von Testergebnissen, insbesondere per E-Mail oder SMS, erfordert besondere Sorgfalt. Ein an die falsche Adresse gesendetes Testergebnis, ein für die falsche Person freigegebenes Patientenprofil oder die Weitergabe von Gesundheitsdaten an Unbefugte können einen schwerwiegenden Verstoß gegen das Datenschutzgesetz (KVKK) darstellen. Die Entscheidung der Behörde zur Übermittlung von Testergebnissen an Dritte, die eine Geldbuße für die Übermittlung von Gesundheitsdaten ohne Rechtsgrundlage verhängte, ist ein konkretes Beispiel für dieses Risiko.

Besondere Kategorien der Datenverarbeitung aus Sicht des Arbeitgebers

Arbeitgeber verarbeiten unter Umständen eine Vielzahl sensibler personenbezogener Daten ihrer Beschäftigten. Dazu gehören beispielsweise Gesundheitsberichte, Behindertenausweise, Angaben zum Behindertenstatus, Arbeitsunfallberichte, Ergebnisse regelmäßiger medizinischer Untersuchungen, Arbeitsschutzdokumente, Informationen zu strafrechtlichen Verurteilungen, Gewerkschaftszugehörigkeitsdaten oder biometrische Daten.

Die Befugnis eines Arbeitgebers zur Verarbeitung von Mitarbeiterdaten ist jedoch nicht unbegrenzt. Er darf nur Daten verarbeiten, die notwendig, verhältnismäßig und rechtlich begründet sind. Beispielsweise kann die Einholung eines Gesundheitszeugnisses von einem Mitarbeiter, der in gefährlichen Berufen tätig sein wird, erforderlich sein. Die Anforderung einer detaillierten Krankengeschichte von einem Büroangestellten hingegen kann übertrieben sein, wenn die Art der Tätigkeit dies nicht erfordert.

Die Anwesenheitserfassung mittels Fingerabdruck- oder Gesichtserkennung birgt ebenfalls Risiken. Laut dem Grundsatzbeschluss des Gremiums aus dem Jahr 2026 kann die Verarbeitung biometrischer Daten zur Anwesenheitserfassung selbst bei ausdrücklicher Einwilligung gegen das Verhältnismäßigkeitskriterium verstoßen, weshalb weniger eingreifende Alternativmethoden vorzuziehen sind.

Folgen der unrechtmäßigen Verarbeitung besonderer Kategorien von Daten

Bei unrechtmäßiger Verarbeitung sensibler personenbezogener Daten kann der Verantwortliche mit Bußgeldern belegt werden. Darüber hinaus kann die betroffene Person, deren personenbezogene Daten verletzt wurden, Beschwerde beim Verantwortlichen oder bei der Datenschutzbehörde einreichen, eine Schadensersatzklage erheben und, je nach Art des Vorfalls, Strafanzeige bei der Staatsanwaltschaft erstatten.

Die unrechtmäßige Weitergabe sensibler personenbezogener Daten kann schwerwiegendere Folgen haben als gewöhnliche Datenschutzverletzungen. Die Offenlegung von Gesundheitsdaten oder biometrischen Daten gegenüber Dritten stellt einen gravierenden Eingriff in die Privatsphäre dar. Daher lassen sich Ansprüche auf Schadensersatz immaterieller Schäden in Entschädigungsklagen besser durchsetzen.

Für Unternehmen beschränkt sich das Risiko nicht auf Verwaltungsstrafen. Auch das Vertrauen der Kunden, die Mitarbeiterloyalität, der Markenruf, Geschäftsbeziehungen und die Glaubwürdigkeit im Geschäftsleben können Schaden nehmen. Insbesondere die Weitergabe von Gesundheitsdaten, der unbefugte Zugriff auf Fingerabdruckdaten oder die unrechtmäßige Verarbeitung biometrischer Daten von Mitarbeitern können in der Öffentlichkeit schwerwiegende Reputationsschäden verursachen.

Anwendbare Checkliste für Unternehmen

Ein Unternehmen oder eine Institution, die sensible personenbezogene Daten verarbeitet, muss zunächst die genauen Datentypen identifizieren, die sie verarbeitet. Es muss eindeutig festgestellt werden, ob Gesundheitsdaten, biometrische Daten, Informationen aus Strafregistern, Gewerkschaftsinformationen oder genetische Daten verarbeitet werden.

Als Nächstes muss für jede Datenverarbeitungsaktivität eine Rechtsgrundlage festgelegt werden. Wird eine ausdrückliche Einwilligung eingeholt, besteht eine rechtliche Verpflichtung, steht die Verarbeitung im Zusammenhang mit Beschäftigung und Arbeitsschutz, erfolgt sie im Rahmen von Gesundheitsdienstleistungen oder ist sie zur Begründung oder zum Schutz eines Rechts erforderlich? Besondere Kategorien personenbezogener Daten dürfen nicht verarbeitet werden, ohne diese Fragen zu beantworten.

Anschließend sollten Informationstexte erstellt, gegebenenfalls gesonderte Einverständniserklärungen verfasst, Aufbewahrungs- und Löschfristen für sensible Daten festgelegt, Zugriffsrechte eingeschränkt, Mitarbeiter geschult, Vertraulichkeitszusagen eingeholt, technische Sicherheitsmaßnahmen implementiert und Datenübertragungsprozesse abgesichert werden.

Insbesondere im Hinblick auf biometrische Systeme muss folgende Frage gestellt werden: Lässt sich dasselbe Ziel mit einer weniger eingreifenden Methode erreichen? Lautet die Antwort ja, birgt die Verarbeitung biometrischer Daten rechtliche Risiken.

Abschluss

Die Verarbeitung sensibler und risikobehafteter personenbezogener Daten zählt zu den heikelsten Bereichen des französischen Datenschutzgesetzes (KVKK). Gesundheitsdaten, biometrische Daten, genetische Daten, Informationen über strafrechtliche Verurteilungen, Gewerkschaftszugehörigkeitsdaten und ähnliche Daten haben unmittelbare Auswirkungen auf das Privatleben von Einzelpersonen und können bei unrechtmäßiger Verarbeitung schwerwiegende Schäden verursachen.

Im Hinblick auf Gesundheitsdaten können die Erbringung von Gesundheitsdienstleistungen, medizinische Diagnosen, Behandlungen und Pflegeprozesse unter bestimmten Voraussetzungen ohne ausdrückliche Einwilligung erfolgen. Die Übermittlung von Gesundheitsdaten an unbeteiligte Dritte, deren unnötige Speicherung oder deren Verwendung zu anderen als den vorgesehenen Zwecken stellt jedoch einen Rechtsverstoß dar. Biometrische Daten wie Fingerabdruck-, Gesichtserkennungs-, Iris-Scanning-, Handgeometrie- und ähnliche Systeme werden deutlich strenger bewertet. Insbesondere die Verarbeitung biometrischer Daten zur Zeiterfassung birgt erhebliche rechtliche Risiken im Sinne der Richtlinie des Gremiums von 2026.

Zusammenfassend lässt sich sagen, dass jedes Unternehmen, jeder Arbeitgeber, jede Gesundheitseinrichtung und jeder Dienstleister, der sensible personenbezogene Daten verarbeitet, seine Datenverarbeitungstätigkeiten individuell hinsichtlich Rechtsgrundlage, Verhältnismäßigkeit, Datenminimierung, bereitgestellter Informationen, ausdrücklicher Einwilligung, Speicherdauer, Übertragungssicherheit und angemessener Schutzmaßnahmen bewerten muss. Ein ordnungsgemäß durchgeführter Prozess zur Einhaltung der DSGVO verringert das Risiko von Bußgeldern und Schadensersatzansprüchen und schützt gleichzeitig die Privatsphäre und die Grundrechte der Betroffenen.