Gemeinsame Datennutzung: Datenschutzrechtliche Rahmenbedingungen

Gemeinsame Datennutzung: Datenschutzrechtliche Rahmenbedingungen
Nehmen sie eine der Pillen. Aus Datenschutzgründen kann leider nicht mehr sagen. Handeln Sie daher völlig unbeeinflusst im Sinne dieser Blindstudie… Gemeinsame Datennutzung: Datenschutzrechtliche Rahmenbedingungen Dr. Bernd Schütze 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Bernd Schütze: (Kurz-) Vita
Studium Informatik (FH-Dortmund) Humanmedizin (Uni Düsseldorf / Uni Witten/Herdecke) Jura (Fern-Uni Hagen) Ergänzende Ausbildung Datenschutzbeauftragter (Ulmer Akademie für Datenschutz und IT-Sicherheit) Datenschutz-Auditor (TüV Süd) Medizin-Produkte-Integrator (VDE Prüf- und Zertifizierungsinstitut) Berufserfahrung Über 10 Jahre klinische Erfahrung Mehr als 20 Jahre IT im Krankenhäusern > 20 Jahre Datenschutz im Gesundheitswesen Mitarbeit in wiss. Fachgesellschaften Deutsche Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie e.V. (GMDS) Gesellschaft für Datenschutz und Datensicherung e.V. (GDD) Gesellschaft für Informatik (GI) Mitarbeit in Verbänden Berufsverband der Datenschutzbeauftragten Deutschlands e.V. (BvD) Berufsverband Medizinischer Informatiker e.V. (BVMI) Bundesverband Gesundheits-IT e. V (bvitg) Fachverband Biomedizinische Technik e.V. (fbmt) HL7 Deutschland e.V. HE Deutschland e.V. Deutsche Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie e.V. Dr. Bernd Schütze Leiter Arbeitsgruppe “Datenschutz und IT-Sicherheit im Gesundheitswesen“ (DIG)  +49 (173)  64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Bernd Schütze: (Kurz-) Vita
Deutsche Telekom Healthcare and Security Solutions GmbH Dr. Bernd Schütze Senior Experte Medical Data Security  (160)  Studium Informatik (FH-Dortmund) Humanmedizin (Uni Düsseldorf / Uni Witten/Herdecke) Jura (Fern-Uni Hagen) Ergänzende Ausbildung Datenschutzbeauftragter (Ulmer Akademie für Datenschutz und IT-Sicherheit) Datenschutz-Auditor (TüV Süd) Medizin-Produkte-Integrator (VDE Prüf- und Zertifizierungsinstitut) Berufserfahrung Über 10 Jahre klinische Erfahrung Mehr als 20 Jahre IT im Krankenhäusern > 20 Jahre Datenschutz im Gesundheitswesen Mitarbeit in wiss. Fachgesellschaften Deutsche Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie e.V. (GMDS) Gesellschaft für Datenschutz und Datensicherung e.V. (GDD) Gesellschaft für Informatik (GI) Mitarbeit in Verbänden Berufsverband der Datenschutzbeauftragten Deutschlands e.V. (BvD) Berufsverband Medizinischer Informatiker e.V. (BVMI) Bundesverband Gesundheits-IT e. V (bvitg) Fachverband Biomedizinische Technik e.V. (fbmt) HL7 Deutschland e.V. HE Deutschland e.V. 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Agenda Was möchte ich vorstellen? Begriffsbestimmungen
Agenda Was möchte ich vorstellen? Begriffsbestimmungen Grundsätzliche Vorüberlegungen Erlaubnistatbestand Forschung Arten der Kooperation aus datenschutzrechtlicher Sicht Auftragsverarbeitung (sehr kurz) Gemeinsame Verarbeitung gemäß Art. 26 DS-GVO „Handel“ mit Daten: Daten kaufen Sekundärnutzung von Daten für Forschung: Zweckkompatibel aber Zweckänderung Nachweis „überwiegendes Interesse“ Sanktionen 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen

Begriffsbestimmungen (Art. 4)
Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 1: personenbezogene Daten "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 1: personenbezogene Daten D.h. soweit und solange die Informationen aus sich heraus Rückschluss auf eine einzelne Person zulassen, handelt es sich um Daten einer bestimmten Person Der Begriff „identifizierbar“ muss daher im Sinne von „als Einzelperson wahrnehmbar“ bzw. einer „Einzelperson zuordenbar“ verstanden werden Beispiel: Alle Personen sind identifizierbar i.S.d. DS-GVO, da die Angaben alle einer Einzelperson zuordenbar sind 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Exkurs Personenbezogen DS-GVO vs. § 203 StGB
Exkurs Personenbezogen DS-GVO vs. § 203 StGB Begriff „Personenbezogen“ ist abhängig vom angewendeten Recht § 203 StGB Mitteilungen, aus denen die Person des Betroffenen nicht ersichtlich ist, erfüllen, mangels Personenbeziehbarkeit, nicht den Tatbestand der Offenbarung* Dementsprechend stellt die Weitergabe von Daten, welche die Person nicht identifizieren, keine Offenbarung i. S. d. § 203 StGB dar* DS-GVO Im Datenschutzrecht muss eine Person identifizierbar sein Beispiel Datenschutzrechtlich: personenbezogen Strafrechtlich: nicht personenbezogen (und dann auch keine „unbefugte Offenbarung“) * Lenckner/Eisele § 203 Rn. 20 in Schönke / Schröder (Hrsg.) Strafgesetzbuch: StGB. 30. Auflage 2019 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Exkurs Personenbezogen DS-GVO vs. § 203 StGB
Exkurs Personenbezogen DS-GVO vs. § 203 StGB Begriff „Personenbezogen“ ist abhängig vom angewendeten Recht § 203 StGB Mitteilungen, aus denen die Person des Betroffenen nicht ersichtlich ist, erfüllen, mangels Personenbeziehbarkeit, nicht den Tatbestand der Offenbarung* Dementsprechend stellt die Weitergabe von Daten, welche die Person nicht identifizieren, keine Offenbarung i. S. d. § 203 StGB dar* DS-GVO Im Datenschutzrecht muss eine Person identifizierbar sein Beispiel: Fingerabdruck (es kann genau „die“ Person identifiziert werden) Datenschutzrechtlich: personenbezogen Strafrechtlich: personenbezogen * Lenckner/Eisele § 203 Rn. 20 in Schönke / Schröder (Hrsg.) Strafgesetzbuch: StGB. 30. Auflage 2019 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 2: Verarbeitung "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; Beispielhafte Aufzählung 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 2: Verarbeitung Verarbeitung beinhaltet alle Vorgänge, die personenbezogene Daten betreffen Unabhängig ob dies mit oder ohne EDV-Einsatz geschieht Insbesondere stellen sowohl eine Anonymisierung als auch eine Pseudonymisierung eine Verarbeitung dar 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 5: Pseudonymisierung "Pseudonymisierung" die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden; 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 5: Pseudonymisierung D.h. Die Pseudonymisierung ist eine Verarbeitung personenbezogener Daten. Pseudonyme Daten sind Daten, die ohne weitere Informationen einer spezifischen Person nicht zuordenbar sind. Die zur Zuordenbarkeit benötigten Informationen stehen dem Verantwortlichen nicht zur Verfügung, sondern werden gesondert aufbewahrt und sind durch technische und organisatorische Maßnahmen vor dem Zugriff durch den Verantwortlichen geschützt. Für den Verantwortlichen besteht bei der Verarbeitung pseudonymisierter Daten keine Möglichkeit der Identifizierung der betroffenen Person. Aber jemand anderes – egal wer auf der Welt – hat diese Möglichkeit. 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 13: Genetische Daten "Genetische Daten" personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden; Ergänzend: ErwGr. 34 insbesondere durch eine Chromosomen, Desoxyribonukleinsäure (DNS)- oder Ribonukleinsäure (RNS)-Analyse oder der Analyse eines anderen Elements, durch die gleichwertige Informationen erlangt werden können, gewonnen werden. 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 13: Genetische Daten Begriff „eindeutig“ bezieht sich auf natürliche Person: Informationen müssen sich eindeutig zuordnen lassen Physiologie im umgangssprachlichen Gebrauch = alle Lebensvorgänge im Menschen, also insbesondere auch pathophysiologische Informationen Daten liefern insbesondere immer dann „Informationen über die Physiologie oder die Gesundheit“, wenn Daten dazu geeignet sind, die genetische Disposition für (künftige) Erkrankungen aufzudecken Genetische Daten werden i.d.R. auch Gesundheitsdaten darstellen Besonderheit: genetisches Material enthält nicht nur Informationen der betroffenen Person, sondern auch von Dritten (Eltern, Großeltern, Geschwister, Kinder usw.) 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 15: Gesundheitsdaten "Gesundheitsdaten" personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen; 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen (Art. 4) Art. 4 Ziff. 15: Gesundheitsdaten Gesundheitsdatum: sehr weit gefasster Begriff Umfasst nicht nur Einzelangaben über Erkrankungen, sondern alles, was mit dem Gesundheitszustand zu tun hat, wie beispielsweise positive, neutrale oder negative Informationen zum Gesundheitszustand Informationen zum früheren, gegenwärtigen und zukünftigen physischen oder geistigen Gesundheitszustand Beispiele Tatsache, dass jemand ein Patient ist (so sind dementsprechend bspw. auch administrative Daten Gesundheitsdaten) Fitnessdaten wie z.B. Pulsschlag beim Laufen, Gehen usw. 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Weitere Begrifflichkeiten "Dateisystem" jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind… "Verantwortlicher" die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet… "Empfänger" eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung; "Dritter" eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter… "biometrische Daten" … personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen … die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen … 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen Forschung Begriff „Forschung“ in der DS-GVO nicht definiert Erwägungsgründe geben Vorstellung, was der europäische Gesetzgeber darunter versteht Studien, die im öffentlichen Interesse im Bereich der öffentlichen Gesundheit durchgeführt werden (Erwägungsgründe 53, 159) Klinische Prüfungen (Erwägungsgrund 156) Register (Erwägungsgrund 157) Verbesserung der Lebensqualität zahlreicher Menschen (Erwägungsgrund 157) Verbesserung der Effizienz der Sozialdienste (Erwägungsgrund 157) Grundlagenforschung (Erwägungsgrund 159) Angewandte Forschung (Erwägungsgrund 159) Privat finanzierte Forschung (Erwägungsgrund 159) 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen Definition „Forschung“ Abgeleitet aus den Erwägungsgründen: „Forschung ist die systematische Suche nach neuen Erkenntnissen sowie deren Dokumentation und Veröffentlichung, wobei Suche sowohl im Bereich der Grundlagenforschung als auch der angewandten Forschung erfolgen kann. Die Ergebnisse der Suche müssen darauf abzielen, dass die Erkenntnisse dem öffentlichen Interesse im Bereich der öffentlichen Gesundheit oder der Verbesserung der Lebensqualität zahlreicher Menschen oder der Verbesserung der Effizienz der Sozialdienste dienen oder der klinischen Prüfung therapeutischer Maßnahmen dienen oder der Registerforschung dienen. Die privat finanzierte Forschung ist dabei der öffentlichen Forschung gleichgestellt.“ 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen Definition „Wissenschaftliche Forschung“ Spezieller Bereich der Forschung Hochschul-Urteil: „[…] wissenschaftliche Tätigkeit, d. h. auf alles, was nach Inhalt und Form als ernsthafter planmäßiger Versuch zur Ermittlung der Wahrheit anzusehen ist. […]“ Daraus ableitend lautet eine Definition „Wissenschaftliche Forschung ist Forschung, die sowohl nach Inhalt als auch der Form entsprechend als ernsthafter planmäßiger Versuch zur Ermittlung der Wahrheit anzusehen ist.“ Hochschul-Urteil: BVerfG, Urteil vom , AZ.: 1 BvR 424/71 bzw 1 BvR 325/72. Online verfügbar unter 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Begriffsbestimmungen Erforderlichkeit / Notwendigkeit Keine Legaldefinition in DS-GVO oder BDSG Verarbeitung insbesondere erforderlich, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann (Erwägungsgrund 39) oder der Zweck der Verarbeitung im lebenswichtigen Interesse der betroffenen Person liegt (Erwägungsgrund 112) Allgemein „erforderlich“: Es gibt kein milderes (= in die Rechte Betroffener weniger eingreifendes) Mittel, welches den gleichen Erfolg mit vergleichbarem Aufwand erzielt. Beantwortung von drei Fragen erforderlich: Gibt es ein anderes Mittel? Ist dieses in gleicher Weise geeignet, den Zweck zu erreichen? Ist dieses Mittel ein milderes, also die Rechte der betroffenen Person weniger belastendes Mittel? 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Grundsätzliche Vorüberlegungen

Datenschutzrechtliche Pflichten
Datenschutzrechtliche Pflichten Gewährleistung Datenschutzgrundsätze Art. 5 DS-GVO (Rechtmäßigkeit, Zweckbindung, Datenminimierung usw.) Insbesondere Nachweispflichten wie Nachweis „Forschung“ Nachweis „wissenschaftlich“ und/oder „historisch“ Nachweis Einhaltung Art. 5 Abs. 1 DS-GVO ( z.B. Speicherbegrenzung) Gewährleistung Betroffenenrechte Cave: Ggf. existiert „Recht auf Datenübertragbarkeit“ Verzeichnis der Verarbeitungstätigkeiten Datenschutz-Folgenabschätzung Pflichten gelten bei jeder Verarbeitung 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Datenschutzrechtliche Pflichten Sicherheit der Verarbeitung Rollen- und Berechtigungskonzept Protokollierungskonzept (an Anforderungen von § 22 Abs. 2 BDSG n.F. denken) Archivierungs- und Löschkonzept Datenschutzkonzept IT-Sicherheitskonzept Gewährleistung Informationspflichten bei Datenschutzvorfällen Ggf. Benennung Datenschutzbeauftragter (s.a. §§ 22, 38 BDSG-neu) Pflichten gelten bei jeder Verarbeitung 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Datenschutzrechtliche Pflichten Anonymisierung § 27 Abs. 3 BDSG n.F. Anonymisieren, sobald dies nach dem Forschungs- und Statistikzweck möglich ist Entspricht Anforderung Datenminimierung/Speicherbegrenzung aus Art. 5 Abs. 1 lit. c,e Wenn Anonymisierung nicht möglich, müssen Forschungsdaten pseudonymisiert werden „[…] sind die Merkmale gesondert zu speichern, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können.“ Re-Identifizierung zulässig = Forschungs- oder Statistikzweck erfordert dies Beispiel* Keine Anonymisierung: Langzeitstudie, die eine fortlaufende Zuordnung neuer Daten zu bereits vorhandenen Daten erfordert Berechtigte Interessen der betroffenen Person stehen der Anonymisierung entgegen (z.B. mögliche Anwendung der Forschungsergebnisse zur Krankheitsbehandlung) Forschung mit Biomaterialien, genetischen Daten, bei denen der Personenbezug im Erbgut selbst vorhanden ist * Buchner B, Tinnefeld MT: § 27 BDSG Rn. 24 in Kühling/Buchner. DS-GVO · BDSG. Verlag C.H.Beck. ". Auflage, ISBN 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Datenschutzrechtliche Pflichten Veröffentlichung von Forschungsergebnissen Grds. keine Veröffentlichung personenbezogener Daten Cave: Pseudonyme Daten = Personenbezogene Daten i.S.d. DS-GVO Ausnahmen Person hat eingewilligt Für Darstellung „von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich“ Hinweis: Daten Verstorbener fallen nicht unter den Schutzbereich der DS-GVO* Ggf. im Rahmen historischer Forschung relevant * ErwGr. 27 DS-GVO: Diese Verordnung gilt nicht für die personenbezogenen Daten Verstorbener 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Datenschutzbeauftragter
Datenschutzbeauftragter Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, die in ihrer gerichtlichen Eigenschaft handeln, oder die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Beobachtung von betroffenen Personen erforderlich machen, oder die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht. Art. 37 DS-GVO 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Datenschutzbeauftragter core activities (dt. Kerntätigkeit): Business functions that are critical, and closely related, to a firm's strategy Non-Core Activities: Service aspects that are not necessarily required by a firm in fulfilling its value proposition to its customers Verarbeitung von Gesundheitsdaten, gen. Daten usw.: Datenschutzbeauftragter benötigt, wenn umfangreiche Verarbeitung Überlegungen: Deutschlandweite Register: wird vermutlich eine umfangreiche Tätigkeit stattfinden Forschung mit Daten von vielen Patienten/Probanden aus mehreren Bundesländern: wird vermutlich eine umfangreiche Verarbeitung stattfinden … Art. 37 DS-GVO 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Datenschutzbeauftragter Pflicht zur Benennung eines Datenschutzbeauftragten, wenn mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (Hinweis: evtl. bald 20) Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO unterliegen Geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung Cave: ist eine Datenschutz-Folgenabschätzung Pflicht resultiert daraus eine Benennungspflicht Art. 38 BDSG 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Datenschutzbeauftragter Deutsche Aufsichtsbehörden veröffentlichten Kriterienlisten, wann aus ihrer Sicht eine DSFA erforderlich ist Für den Gesundheitssektor sind insbesondere von Interesse Zusammenführung von personenbezogenen Daten aus verschiedenen Quellen und der Weiterverarbeitung der so zusammengeführten Daten (z.B. Big Data, Data-Warehouse, Daten aus verschiedenen Einrichtungen) Erhebung personenbezogener Daten über Schnittstellen persönlicher elektronischer Geräte, die nicht gegen ein unbefugtes Auslesen geschützt sind (z.B. Einsatz von Tracking mittels RFID-Chips) Anonymisierung von besonderen personenbezogenen Art. 9 Daten Verarbeitung von Art. 9 Daten sofern eine nicht einmalige Datenerhebung mittels Sensoren oder mobilen Anwendungen stattfindet und diese Daten von einer zentralen Stelle empfangen und aufbereitet werden (z.B. Telemedizin-Anwendungen) Verarbeitung von Art. 9 Daten durch zentrale Internetdienste (z.B. Verarbeitung von Gesundheitsdaten in der Cloud, institutionsübergreifende Pat.-Akten) Datenschutz-Folgenabschätzung z.B. erforderlich … 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Erlaubnistatbestand Forschung („Rechtmäßigkeit“)

Erlaubnistatbestände
Erlaubnistatbestände Verbot mit Erlaubnisvorbehalt: Jede Verarbeitung benötigt eine Genehmigung Art. 9 Abs. 1: Die Verarbeitung personenbezogener Daten, … sowie von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer Person oder Daten über Gesundheit oder Sexualleben und sexuelle Ausrichtung ist untersagt Klassische Firewall-Regelung: Du darfst nichts tun! Art. 9 Abs. 2: Absatz 1 gilt nicht in folgenden Fällen (= Verarbeitung ist erlaubt) betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt […] Erforderlich für „im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 Abs. 1“ Cave: Art. 6 Kein Erlaubnistatbestand für Art.9-Daten 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Erlaubnistatbestände Forschung: Privilegierte Verarbeitung Forschung spielt zentrale Rolle in der EU (Vertrag über die Arbeitsweise der Europäischen Union) Vgl. Art. 179 Abs. 1 AEUV (Teil XIX „Forschung, technologische Entwicklung und Raumfahrt“): „Die Union hat zum Ziel, ihre wissenschaftlichen und technologischen Grundlagen dadurch zu stärken, dass ein europäischer Raum der Forschung geschaffen wird […]“ DS-GVO trägt dem Gedanken Rechnung Zweckänderung „Forschung“ gemäß Art. 5 Abs. 1 lit. b DS-GVO grundsätzlich möglich Forschungsaktivitäten müssen im datenschutzrechtlichen Sinne ausgestaltet werden (Art. 89 Abs. 1 DS-GVO) Beachtung datenschutzrechtlicher Grundsätze, insb. Art. 5 DS-GVO (Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung, Rechenschaftspflicht, …) Beachtung der Betroffenenrechte, insbesondere Informationspflichten (Erhebung, Zweckänderung) und Widerspruchsrecht (Art. 21 Abs. 6) DS-GVO Forschung nur bei Vorhandensein „geeigneter“ technischer und organisatorischer Maßnahmen (insbesondere Artt. 25, 30, 32) 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Erlaubnistatbestände Forschung: Privilegierte Verarbeitung Art. 9 Abs. 2 lit. j DS-GVO: die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht […] (siehe auch ErwGr. 156) 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Erlaubnistatbestände Forschung: Privilegierte Verarbeitung Mitgliedstaaten müssen nationale Regelungen erlassen, welche den Anforderungen der DS-GVO genügen Mögliche Regelungen in Deutschland z.B. Klinische Prüfung (AMG, MPG) Radioaktive Stoffe, ionisierende Strahlung, Röntgenstrahlung (StrlSchG, StrlSchV) Sozialleistungen (SGB V, SGB X, SGB XI) Gendiagnostikgesetz Krankenhausgesetze der Länder Krebsregistergesetze 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Erlaubnistatbestände Nationale Erlaubnistatbestände Art. 9 Abs. 4 DS-GVO: Öffnungsklausel, welche den Mitgliedsstaaten erlaubt, „zusätzliche Bedingungen, einschließlich Beschränkungen“ einzuführen oder aufrechtzuerhalten § 27 BDSG n.F. adressiert diese Öffnungsklausel und erlaubt Forschung, vorausgesetzt Verarbeitung ist zu diesen Zwecken erforderlich ist Interessen des Verantwortlichen an der Verarbeitung überwiegen Interessen der betroffenen Person erheblich Cave: Interessen müssen erheblich überwiegen Nutzen für die Allgemeinheit, der sich aus der praktischen Anwendung des Forschungsergebnisses ergeben kann, berücksichtigen Maßnahmen zur Wahrung der Interessen der betroffenen Person wurden getroffen Insbesondere Maßnahmen nach § 22 Abs. 2 S. 2 BDSG n.F. 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Erlaubnistatbestände Privilegierung Eigenforschung Privilegierung Eigenforschung Grundgedanke: zwar Zweckänderung, aber keine (weitere) Offenbarung der Patientendaten an nicht an der Behandlung Beteiligte Daher Eigenforschung ohne Einwilligung durch Landeskrankenhausgesetze abgedeckt 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Erlaubnistatbestände Zweckanpassung Nutzung von Patientendaten zur Forschung: Zweckänderung? Art. 5 Abs. 1 lit. b DS-GVO: „eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Art. 89 Abs. 1 DS-GVO nicht als unvereinbar mit den ursprünglichen Zwecken“ Zweckänderung ja, jedoch sind „alte“ und „neue“ Zweck miteinander vereinbar (Stichwort: „Zweckkompatibel“) Unter Voraussetzungen von Art. 89 Abs. 1 DS-GVO i. V. m. § 27 BDSG n.F. Daten der Routineversorgung können grundsätzlich für wissenschaftliche Forschungsvorhaben genutzt werden (wenn ein Erlaubnistatbestand vorliegt) 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Arten der Kooperation aus datenschutzrechtlicher Sicht

Arten von Kooperationen
Auftragsverarbeitung Gemeinsame Verarbeitung „Funktionsübertragung“ Grundsatz Weisungsgebundene Verarbeitung von Daten durch Auftragnehmer (Gleichberechtigte) Partnerschaft mit gemeinsamer Verantwortung Eigenverantwortliche Entscheidung des Auftragnehmers über die Art und Weise der Datenverarbeitung Erlaubnistat-bestand Verantwortlicher verfügt über einen Erlaubnistatbestand Die gemeinsam an der Verarbeitung Beteiligten haben einen (gemeinsamen) Erlaubnistatbestand Verantwortlicher hat Erlaubnistatbestand zur Übermittlung Verantwortliche einen für seine Verarbeitung Voraussetzung für Verarbeitung Vertrag oder sonstiges Rechtsinstrument Aufteilung der Pflichten gemäß Art. 26 (und entsprechende vertragliche Regelung / Vereinbarung) Auftragnehmer braucht einen eigenen Erlaubnistatbestand zur Datenverarbeitung 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Verarbeitung im Auftrag

Begriffsbestimmungen Was ist womit gemeint? Verarbeitung im Auftrag Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter (Auftragnehmer) nach Weisung und im Auftrag des Verantwortlichen (Auftraggeber) Weisung Weisung ist die auf einen bestimmten datenschutzmäßigen Umgang des Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche Anordnung des Auftraggebers Unterauftragnehmer Vom Auftragnehmer beauftragter Leistungserbringer, dessen Dienstleistung und/oder Werk der Auftragnehmer zur Erbringung der Leistungen gegenüber dem Auftraggeber benötigt Drittland Land außerhalb EU/EWR 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Pflicht zum Vertragsabschluss
Pflicht zum Vertragsabschluss Pflicht zum Vertragsabschluss (schriftlich) Inhaltliche Vorgaben aus Art. 28 Abs. 2, 3, 4 DS-GVO (siehe auch Muster-Vertrag zur Auftragsverarbeitung für das Gesundheitswesen*) Weitere Vorgaben bzgl. Verarbeitung im Auftrag nicht zwingend Vertragsbestandteil, muss aber ggf. nachgewiesen werden, z.B. Art. 27 DS-GVO: Nicht in der Union niedergelassene Verantwortlichen oder Auftragsverarbeitern benötigen Vertreter in der Union Artt. 44ff DS-GVO: Verarbeitung in Drittstaaten Keine Auftragsverarbeitung ohne Vertrag 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vertrag zur Verarbeitung im Auftrag
Vertrag zur Verarbeitung im Auftrag Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen Zur Verarbeitung befugte Personen wurden zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht Gewährleistung Sicherheit der Verarbeitung (Art. 32 DS-GVO) Einsatz weiterer Auftragsverarbeiter („Unterauftragsverarbeiter“) regeln Wahrnehmung der Betroffenenrechte, angemessene Unterstützung des Auftragsverarbeiters Unterstützungsleistung Verantwortlicher durch Auftragsverarbeiter Nach Auftragsende: Löschen oder Rückgabe Daten durch Auftragsverarbeiter Informationen bzgl. Einhaltung vertraglicher Bedingungen bereitstellen, Inspektionen erlauben Zu regelnde Mindestinhalte 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Mustervertrag für das Gesundheitswesen
Mustervertrag für das Gesundheitswesen Muster der Verbände nutzen Berufsverband der Datenschutzbeauftragten Deutschlands e. V. (BvD) Arbeitskreis Medizin Bundesverband Gesundheits-IT e. V. (bvitg) Arbeitsgruppe Datenschutz & IT-Sicherheit Deutsche Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie e. V. (gmds) Arbeitsgruppe "Datenschutz und IT-Sicherheit im Gesundheitswesen" (DIG) Deutsche Krankenhausgesellschaft e. V. (DKG) Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD) Arbeitskreis "Datenschutz und Datensicherheit im Gesundheits- und Sozialwesen" Download z.B. unter 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sanktionen Zwei Fälle sind zu Unterscheiden
Sanktionen Vertrag zur Auftragsverarbeitung liegt vor Verantwortlicher/Auftragsverarbeiter bei Verstoß gegen die Pflichten gemäß Artt. 8, 11, 25 bis 39, 42 und 43 DS-GVO: „kleines“ Bußgeld (Geldbuße von bis zu EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs) Zwei Fälle sind zu Unterscheiden 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sanktionen Zwei Fälle sind zu Unterscheiden
Sanktionen Vertrag zur Auftragsverarbeitung liegt nicht vor Verantwortlicher: Übermittlung ohne Rechtsgrundlage = Verstoß gegen Artt. 5-9 DS- GVO „großes“ Bußgeld (Geldbuße von bis zu EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs) Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe gem. § 42 BDSG Auftragsverarbeiter: Verarbeitung ohne Rechtsgrundlage = Verstoß gegen Artt. 5-9 DS-GVO „großes“ Bußgeld Zwei Fälle sind zu Unterscheiden 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Gemeinsame Verarbeitung gemäß Art
Gemeinsame Verarbeitung gemäß Art. 26 DS-GVO („Gemeinsam Verantwortliche“)

Verantwortlich für eine Verarbeitung
Verantwortlich für eine Verarbeitung Art. 4 Ziff. 7 DS-GVO Verantwortlichen := jemand, der allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet In Deutschland neu, da die EU-Datenschutz-Richtlinie 95/46/EG nie richtig umgesetzt wurde, in der es in Art. 2 lit. d heißt: „‘für die Verarbeitung Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.“ 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Verantwortlich für eine Verarbeitung Wann gelten die Regelungen bzgl. „gemeinsam Verantwortliche“ Beurteilung nicht (alleine) an Hand der vertraglichen Ausgestaltung Entscheidend ist, wie die Entscheidungsbefugnisse in der Realität aussehen: Maßgeblich ist die Betrachtung und Bewertung anhand der tatsächlichen Gegebenheiten Aber* Nicht jeder der Verantwortlichen muss gleich viel Verantwortung/Entscheidungsbefugnisse haben und Nicht jeder der Verantwortlichen muss Zugriff auf alle personenbezogenen Daten haben * EuGH, Urt. v. 05. Juni 2018, AZ: C-210/16. Rn. 38. Online, zitiert am ; Verfügbar unter EuGH, Urt. v. 10. Juli 2018, AZ: C-25/17. Rn Online, zitiert am ; Verfügbar unter 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Verantwortlich für eine Verarbeitung Wann gelten die Regelungen bzgl. „gemeinsam Verantwortliche“ D.h. die jeweiligen an der gemeinsamen Verarbeitung beteiligten Parteien müssen tatsächlich über die Zwecke und Mittel entscheiden bzw. entscheiden können Nicht zu dieser Regelung zählen Vorgänge, bei denen mehrere Verarbeitungen mit jeweils selbstständigen Verantwortlichkeiten nebeneinander vorliegen oder weisungsabhängige Verarbeitungen (Verarbeitung im Auftrag) 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Gemeinsam Verantwortliche
Gemeinsam Verantwortliche Was ist zu beachten? Ein Erlaubnistatbestand zur Verarbeitung personenbezogener Daten muss existieren; Art. 26 DS-GVO selbst stellt keine Erlaubnisnorm dar Jeder Verantwortliche benötigt einen Erlaubnistatbestand für seinen Teil der Verarbeitung Aus Art. 5 DS-GVO resultierende Anforderungen müssen von allen Verantwortlichen erfüllt werden; verstößt einer dagegen, erfolgt die gesamte Verarbeitung unrechtmäßig Betroffenenrechte müssen gewährleistet sein Insbesondere muss den Informationspflichten genügt werden Ggf. sollte die federführende Aufsichtsbehörde bei länderübergreifender Verarbeitung festgelegt werden Eine Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO muss abgeschlossen werden 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO
Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO Vertragsbestandteil: Definitionen Die Begriffsbestimmungen, die in der DS-GVO nicht enthalten sind, im Vertrag aber benötigt werden, sollten hier aufgenommen werden, z.B. Hauptvertrag Weisung Unterauftragnehmer Anonymisierung 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO Vertragsbestandteil: Gegenstand und Dauer des Verarbeitung Analog zu einem Vertrag zur Auftragsverarbeitung muss der Gegenstand der Vereinbarung dargestellt werden, d.h. welche Verarbeitungen werden durchgeführt, welche Leistungen werden erbracht Die Dauer der Vereinbarung muss festgelegt werden Ggf. vorhandenes Sonderkündigungsrecht festgelegt werden 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO Vertragsbestandteil: Verantwortlichkeiten Im Vertrag muss festgehalten werden, welcher der gemeinsam Verantwortlichen welche Verantwortlichkeiten wahrnimmt und wer für welche Verarbeitungen verantwortlich ist Insbesondere muss festgelegt werden, wer welche Betroffenenrechte gewährleistet wer betroffenen Personen die gemäß Art. 26 Abs. 2 DS-GVO verpflichtenden Informationen zukommen lässt wer als Anlaufstelle für betroffene Personen agiert Die Festlegungen müssen für betroffene Personen transparent und nachvollziehbar erfolgen; Art. 12 DS-GVO gilt auch hier 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO Vertragsbestandteil: Darstellung der Pflichten Die Pflichten müssen festgelegt werden, z.B. Informationspflichten untereinander Bei Prüfung der Verarbeitung wurden Fehler/Unregelmäßigkeiten festgestellt Betroffen meldeten sich bei einem der Verantwortlichen bzgl. Wahrnehmung ihrer Rechte Wer führt welchen Teil im Verzeichnis der Verarbeitungstätigkeiten? Informationspflichten aus Artt. 33, 34 DS-GVO Umgang mit Berichtigung, Löschung, Sperrung, … Durchführung einer Datenschutz-Folgenabschätzung Dokumentation der Verarbeitung Benennung Datenschutzbeauftragter Gewährleistung Vertraulichkeit Gewährleistung Sicherheit der Verarbeitung 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO Vertragsbestandteil: Auftragsverarbeitung Dürfen Auftragsverarbeiter eingesetzt werden? Wenn ja, von wem ? Wer muss informiert werden? Existiert ein Widerspruchsrecht der anderen Mit-Verantwortlichen? Drittlandverarbeitung? 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO Vertragsbestandteil: Ggf. Haftung Art. 82 DS-GVO regelt die datenschutzrechtliche Haftung Ggf. soll die Haftung im Innenverhältnis aber detaillierter geregelt werden, z.B. wer hat Rückgriff auf Auftragsverarbeiter 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO Muster für vertragliche Vereinbarung Ausarbeitung der GMDS: Mustervertrag inkl. Kommentierung von Art Landesbeauftragte für den Datenschutz und die Informationsfreiheit Mustervertrag sowie Muster bzgl. Informationspflichten verantwortlichkeit-sinnvoll-gestalten/ Moos: Datenschutz- und Datennutzungsverträge. Verlag Otto Schmidt, 2. Auflage ISBN Muster für Vertragsgestaltung Stephan Hansen-Oest Mustervertrag 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Vereinbarung gemäß Art. 26 Abs. 1 DS-GVO Muster für vertragliche Vereinbarung Ausarbeitung der GMDS: Mustervertrag inkl. Kommentierung von Art 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

„Handel“ mit Daten: Daten kaufen

Eigentum an Daten? Möglichkeiten Sacheigentum i.S.v. § 903 S. 1 BGB
Eigentum an Daten? Möglichkeiten Sacheigentum i.S.v. § 903 S. 1 BGB Möglich für dingliche Manifestationen, z.B. Festplatte, CD/DVD, usw. Immaterialgüterrecht i.S.v. Patent-, Marken-, Urheberrecht … („Recht am geistigen Eigentum“) Daten fallen jedoch nicht in den Anwendungsbereich eines bestehenden Immaterialgüterrechts Dateneigentum = Analogie zum Sacheigentum? Setzt planwidrigen Regelungslücke im Gesetz und eine vergleichbare Interessenlage voraus Wird in Literatur z.T. bejaht (z.B. Hoeren*), ist aber nicht unumstritten * Hoeren T. (2013) Dateneigentum. MMR: , online unter 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Eigentum an Daten – Eher „Nein“
Eigentum an Daten – Eher „Nein“ Schwierigkeit: Wie dann damit Handel betreiben? Hypothese: Daten sind nicht eigentumsfähig Was ist bei Auswertung und Kommerzialisierung großer Datenmengen zu beachten? Personenbezogene Daten: Datenschutzrecht Geschäfts- und Betriebsgeheimnisse : Straf- und Deliktsrecht sowie UWG Folgerung: Rechtssichere Verwertung und Kommerzialisierung verlangt umfassender vertragliche Regelungen zwischen Datensubjekt (i.S. der von der Datenverarbeitung betroffenen juristischen/natürlichen Person) und Unternehmen Dann ist ja alles gut? 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Handel mit Daten Schwierigkeit: Wie dann damit Handel betreiben?
Handel mit Daten Schwierigkeit: Wie dann damit Handel betreiben? Mai 2017: Justizministerkonferenz veröffentlicht Gutachten* (413 Seiten) Voraussetzung für die Schaffung eines Eigentumrechtes für Daten ist, dass dieses „nachweislich wirtschaftliche, gesellschaftliche oder andere Vorteile für die Wohlfahrt gegenüber der geltenden Rechtslage“ verspricht; ein Bedarf für wirtschaftliche Nutz- Handelbarkeit reicht nicht aus Handel mit Daten vollzieht sich in Ermangelung eines absoluten Rechts an Daten nach geltendem Recht dadurch, dass der Veräußerer dem Erwerber – auf vertraglicher Grundlage – eine faktische Position verschafft (bspw. Zugriff auf die Daten im Wege eines Downloads) Das dem persönlichkeitsrechtlichen Schutz dienende Datenschutzrecht hat nicht die Funktion, den Leistungsaustausch durch Verträge zu regeln, und stellt keinen Regelungsrahmen für die Äquivalenz in Leistungsaustauschbeziehungen dar. „Bezahlen mit Daten“ ist legitim * Arbeitsgruppe „Digitaler Neustart“ der Konferenz der Justizministerinnen und Justizminister der Länder, Bericht vom 15. Mai 2017, Online unter 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Handel mit Daten Bezahlen mit Daten
Handel mit Daten Bezahlen mit Daten Mai 2017: Justizministerkonferenz veröffentlicht Gutachten* (413 Seiten) „Bezahlen mit Daten“ i.d.R. Einwilligung in kommerzielle Nutzung → Widerruf jederzeit möglich Zivilrechtliche Abbildung: Annahme einer auflösenden Bedingung, eine Unklagbarkeit sowie den Ausschluss von Ansprüchen wegen Nichterfüllung Arbeitsgruppe sieht es als sach- und interessengerecht an, eine „Button“-Lösung (welche dem Nutzer die Verpflichtung unmittelbar vor Augen führt, analog den "Bezahl"-Buttion) für das „Bezahlen mit Daten“ gesetzlich zu verankern * Arbeitsgruppe „Digitaler Neustart“ der Konferenz der Justizministerinnen und Justizminister der Länder, Bericht vom 15. mai 2017, Online unter 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Handel mit Daten: Fazit
Handel mit Daten: Fazit Handelnd und bezahlen mit Daten ist möglich Ein „Dateneigentun“ wird als Rechtsbegriff in absehbarer Zeit in Deutschland nicht eingeführt Die Möglichkeit der Verarbeitung von Daten orientiert sich am jeweiligen Recht Personenbezogene Daten vorwiegend am Datenschutzrecht Nicht-personenbezogene Daten überwiegend am Straf- und Deliktsrecht sowie UWG Auch personenbezogene Daten können als „Bezahlung“ für die Erbringung einer Dienstleistung oder der Erlangung anderer Vorteile genutzt werden. Voraussetzung: Dies geschieht für das Datensubjekt transparent und die Freiwilligkeit bzgl. Zustimmung Datennutzung ist gewährleistet Herausforderungen: Wie kann man mit dem Datensubjekt (z.B. Patienten) Kontakt aufnehmen? Welchen Gegenwert kann man dem Datensubjekt anbieten, damit die Daten bzw. die benötigten Rechte an diesen zur Verarbeitung bereitgestellt werden das Geschäftsmodell trotz „Bezahlung“ des Datensubjektes Gewinn abwirft 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung von Daten für Forschung: Zweckkompatibel aber Zweckänderung

Sekundärnutzung Nutzung vorhandener Patientendaten zu Forschungszwecken Art. 5 Abs. 1 lit. b DS-GVO: „[…] eine Weiterverarbeitung für […] wissenschaftliche oder historische Forschungszwecke […] gilt […] nicht als unvereinbar mit den ursprünglichen Zwecken“ ErwGr. 50 S. 1,4 DS-GVO: Die Verarbeitung personenbezogener Daten für andere Zwecke als die, für die die personenbezogenen Daten ursprünglich erhoben wurden, sollte nur zulässig sein, wenn die Verarbeitung mit den Zwecken, für die die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist. Die Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke sollte als vereinbarer und rechtmäßiger Verarbeitungsvorgang gelten 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Wissenschaftliche Forschung „nicht unvereinbar“ (Art. 5 Abs. 1 lit. b DS-GVO), „sollte“ vereinbar sein (ErwGr. 50 S. 4 DS-GVO) Forschung Grundsätzlich privilegiert, aber wegen des breiten Spektrums möglicher Verarbeitungen ist die Privilegierung nicht von vornherein gewährleistet, sondern es kommt auf die konkrete Ausgestaltung der Verarbeitung an* DS-GVO beinhaltet nicht, dass Forschung als Sekundärzweck mit dem Primärzweck immer vereinbar ist* Vereinbarkeit muss im Einzelfall geprüft und nachgewiesen werden Im Regelfall wird aber von einer Vereinbarkeit auszugehen sein Nachweis Vereinbarkeit gemäß Art. 6 Abs. 4 DS-GVO Nutzung vorhandener Patientendaten zu Forschungszwecken * Roßnagel Art. 5 Rn 106, 109 in: Simitis/Hornung/Spieker (hrsg.) Datenschutzrecht DSGVO mit BDSG. Nomos Verlag, 1. Auflage ISBN 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Hinweis: Art. 5 Abs. 1 lit. b DS-GVO i.V.m. ErwGr. 50 S. 4 DS-GVO Im Regelfall wird aber von einer Vereinbarkeit auszugehen sein* Voraussichtlich wird vor Gericht die betroffene Person nachweisen müssen, dass eine Vereinbarkeit nicht gerechtfertigt ist*, z.B. auf Grund der Folgen der Weiterverarbeitung für die betroffene Person (Art. 6 Abs. 4 lit. d DS-GVO) Nutzung vorhandener Patientendaten zu Forschungszwecken * Roßnagel Art. 5 Rn 109,110 in: Simitis/Hornung/Spieker (hrsg.) Datenschutzrecht DSGVO mit BDSG. Nomos Verlag, 1. Auflage ISBN 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Nutzung vorhandener Patientendaten zu Forschungszwecken ErwGr. 50 S. 2 DS-GVO: In diesem Fall ist keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Erhebung der personenbezogenen Daten. “ Wenn Vereinbarkeit gewährleistet wird, wird zur Verarbeitung kein neuer Erlaubnistatbestand benötigt Aber nur im Rahmen des ursprünglichen Erlaubnistatbestandes 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Nutzung vorhandener Patientendaten zu Forschungszwecken Beispiel: Daten wurden im Rahmen der Behandlung gewonnen, Rechtsgrundlage Behandlungsvertrag Forschung mit den Daten durch Behandler durch ursprüngliche Rechtsgrundlage abgedeckt Nicht abgedeckt beispielsweise Weitergabe an Dritte Forschung durch Dritte 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Nachweis Vereinbarkeit gemäß Art. 6 Abs. 4 DS-GVO
Sekundärnutzung Nachweis Vereinbarkeit gemäß Art. 6 Abs. 4 DS-GVO Um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — berücksichtigt der Verantwortliche unter anderem jede Verbindung zwischen den Primär- und Sekundärzwecken, den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen, die Art der personenbezogenen Daten, insbesondere ob in Artt. 9 oder 10 genannte Datenkategorien verarbeitet werden, die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen, das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Nachweis Vereinbarkeit gemäß Art. 6 Abs. 4 DS-GVO Um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — berücksichtigt der Verantwortliche unter anderem jede Verbindung zwischen den Primär- und Sekundärzwecken, Beispiel Primärzweck: Behandlung Prostatakarzinom Sekundärzweck: Forschung zur Verbesserung der Behandlung des Prostatakarzinoms Sehr starke Übereinstimmung 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Nachweis Vereinbarkeit gemäß Art. 6 Abs. 4 DS-GVO Um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — berücksichtigt der Verantwortliche unter anderem den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen, Beispiel Daten wurden im Rahmen der Patientenbehandlung erhoben Sekundärnutzung: Forschung durch die behandelnden Ärzte Starkes Vertrauensverhältnis zwischen den Personen, gesetzliche Geheimhaltungspflicht (Berufsordnung Ärzte, § 203 StGB) stärkt Vertrauensbasis 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Nachweis Vereinbarkeit gemäß Art. 6 Abs. 4 DS-GVO Um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — berücksichtigt der Verantwortliche unter anderem die Art der personenbezogenen Daten, insbesondere ob in Artt. 9 oder 10 genannte Datenkategorien verarbeitet werden, Beispiel Gesundheitsdaten, genetische Daten Daten der besonderen Art = sehr starker Schutzbedarf Garantien entsprechend Vorgaben von Art. 89 Abs. 1 DS-GVO (= technische und organisatorische Maßnahmen, welche Rechte und Freiheiten der betroffenen Patienten entsprechend Vorgaben DS-GVO schützen) müssen entsprechend gut sein 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Nachweis Vereinbarkeit gemäß Art. 6 Abs. 4 DS-GVO Um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — berücksichtigt der Verantwortliche unter anderem die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen, Beispiel Gesundheitsdaten beinhalten mannigfaltige Möglichkeiten durch Offenbarung die Grundrechte der betroffenen Personen zu involvieren, z.B. Risiko: Diskriminierung, Rufschädigung, Finanziellen Verlust, … Pot. Folgen: Jobverlust, Verlust Ehepartner, Vereinsamung, Verlust Kreditwürdigkeit, … Folgen müssen betrachtet und im Verhältnis zur Weiterverarbeitung bewertet werden 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sekundärnutzung Nachweis Vereinbarkeit gemäß Art. 6 Abs. 4 DS-GVO Um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — berücksichtigt der Verantwortliche unter anderem das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann Hinweis Forschung grundsätzlich mit anonymen Daten, ausnahmsweise mit pseudonymen Daten (siehe § 27 Abs. 3 BDSG) 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „überwiegendes Interesse“ (Beispiel: Nutzung Daten des Mammographiescreenings)

Zielsetzung des Forschungsvorhabens
Zielsetzung des Forschungsvorhabens Reduzierung der initialen Fehldiagnosen beim Mammographiescreening Fehlbefunde beim Mammographiescreening Befunde, die in Abklärung als gutartig eingestufte wurde 250 bis 400 pro 1000 Frauen (je nach Studie Untersuchungszeitraum 20 Jahre) Daraus resultieren auch Nachuntersuchungen mit zusätzlicher Strahlenbelastung Vorhaben Verringerung der falsch negativen, als auch die falsch positiven Befunde Mittel: Integration automatisierte Qualitätssicherungsmaßnahmen zu entwickeln, die den Screeningarzt bei seiner Arbeit zusätzlich unterstützen automatisierte Qualitätssicherungsmaßnahmen resultieren aus Training eines Faltungsnetzwerks (Convolutional Neuronal Network – CNN) Automatische Detektion relevanter Befunde Zum Training werden die Bilddaten und endgültigen Befunde vorhandener Untersuchungen benötigt 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Zielsetzung des Forschungsvorhabens
Zielsetzung des Forschungsvorhabens Reduzierung der initialen Fehldiagnosen beim Mammographiescreening Einwilligung für retrospektive Untersuchungen keine Lösung Zu geringe Rücklaufquote, Forschung könnte mangels Daten nicht erfolgen 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Idee: Interessenabwägung
Idee: Interessenabwägung § 27 Abs. 1BDSG Rechtsgrundlagen Forschung Abweichend von Art. 9 Abs. 1 […] auch ohne Einwilligung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke zulässig, wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen. Entspricht Art. 9 Abs. 2 lit. j DS-GVO Nachweis bzgl. „Erforderlichkeit“ notwendig Abwägung eigene Interessen vs. Gegenstehende Interessen Patient → eigene Interessen müssen „erheblich überwiegen“ 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Idee: Interessenabwägung
Idee: Interessenabwägung § 27 Abs. 1BDSG Rechtsgrundlagen Forschung Wie „erheblich überwiegen“ nachweisen? Nachweis, dass das öffentliche Interesse an den Ergebnissen der Forschung überwiegt 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Öffentliches Interesse: Was ist das eigentlich?
Öffentliches Interesse: Was ist das eigentlich? Öffentliches Interesse liegt vor, wenn … Analog zu Abschnitt 86 Richtlinien für das Strafverfahren und das Bußgeldverfahren (RiStBV): Öffentliches Interesse liegt vor, wenn das Vorhaben ein gegenwärtiges Anliegen der Allgemeinheit beinhaltet oder das Vorhaben ein gegenwärtiges Anliegen der Allgemeinheit ist. Zentrale Fragen: Interessiert das Vorhabens die Allgemeinheit? Nützt das Ergebnis des Vorhabens der Allgemeinheit? 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Öffentliches Interesse: Zu beachten
Öffentliches Interesse: Zu beachten Überwiegendes öffentliche Interesse Im Allgemeinen: Öffentliches Interesse = Vorrang vor dem Individualinteresse Jedoch: Immer Abwägung erforderlich Überwiegendes Forschungsinteresse nur gegeben, wenn an der Durchführung des Forschungsvorhabens ein öffentliches Interesse besteht und der Eingriff in die Rechte der betroffenen Person so gering wie nur möglich gehalten wird und der Grundrechtseingriff gegenüber der betroffenen Person nicht außer Verhältnis zu dem angestrebten Zweck steht. 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „öffentliches Interesse“
Nachweis „öffentliches Interesse“ Erkrankungsrate, Auftreten in Deutschland Brustkrebs ist weltweit die häufigste krebsbedingte Todesursache Gruppe der 50 bis 51-jährigen Frauen: Frauen* , die aufgrund ihres Alters berechtigt am Screeningprogramm teilnehmen dürfen 2014 nahmen Frauen am Screening teil** Daraus resultieren Frauen erhalten in 20 Jahren Screening einen in der Abklärung negativen Befund Dies entspricht 7810 Frauen pro Jahr Ergänzend: Ca Frauen mit Intervallcarzinomen** Bei Frauen pro Jahr entsprechend die endgültigen Ergebnisse nicht dem initialen Screeningbefund * Quelle: Bevölkerungsstand vom , entnommen offizieller Statistik veröffentlicht vom Statistischen Bundesamt **Brustkrebsfrüherkennung durch Mammographiescreening, Onkologe 2017, 23:701–710, DOI /s 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „öffentliches Interesse“ Kosten für die Allgemeinheit Kennzahlen zum Mammographiescreening innerhalb von 20 Jahren Screening werden zusätzlich ca Frauen biopsiert, bei denen kein Karzinom nachweisbar ist EBM Ziffer (Mammastanzbiopsie): Dies entspricht rund Euro nur für die Stanzbiopsie Kosten der aufgrund der Diagnosestellung resultierenden Folgen für die Familien Ehe- oder Lebenspartner muss Aufgaben übernehmen, welche die Frau aufgrund ihrer Krankheitsbewältigung dies nicht länger selbst wahrnehmen kann Lebenspartner fällt im Arbeitsleben aus, was – betrachtet man die Summe aller Erkrankten - wiederum Auswirkungen auf die gesamtwirtschaftliche Leistung in Deutschland 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „öffentliches Interesse“ Kosten für die Allgemeinheit Folgerungen: In Summe werden die Kosten sich - sehr konservativ geschätzt - alleine für die krankheitsbezogenen medizinischen Maßnahmen sicherlich in einem zweistelligen Millionenbetrag belaufen Hinzu kommen noch die Begleitkosten 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „öffentliches Interesse“ Bedeutung für Patientin Inzidenz von jährlich rund Neuerkrankungen = Häufigste Krebserkrankung bei Frauen in Deutschland Erkrankungsrate jährlich um 1,3%* Jede achte Frau im Laufe ihres Lebens an Brustkrebs 23 von Frauen versterben** Für die operierten Frauen Häufig eine unglaublich starke emotionale Belastung Kann sich bis zu einer sehr ernsten psychischen Erkrankung wandeln wenn die Brust teilweise oder komplett entfernt wird Anzahl der Fehltherapien generell und vor allem die aufgrund einer fehlerhaften Diagnostik erfolgten Fehltherapien müssen verringert werden * Quelle: ** Quelle: Robert Koch Institut, 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „öffentliches Interesse“ Bedeutung für nähere Umgebung (Freunde/Familie) Die Brust ist ein wichtiges Geschlechtsmerkmal, deren Integrität und Unversehrtheit für die Frau selbst, als auch für deren Partner von großer Bedeutung ist Bei Abweichungen von der Normalität kommt es nicht selten zu seelischen Störungen, die in der Tragweite zu schweren Depressionen, als auch dem Auflösen von Partnerschaften führen können Hinzu kommt die psychische Belastung, welche auch die Kinder betrifft und gegebenenfalls negative Auswirkungen auf deren Ausbildung und damit die schlechteren Chancen im späteren Berufsleben hat 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „öffentliches Interesse“ Bedeutung für nähere Umgebung (Freunde/Familie) Nachkommen von Frauen mit nachgewiesenem Mammakarzinom: Wünschenswert, dass die Diagnostik und Therapiemöglichkeiten ständig verbessert werden, da je nach Verwandtschaftsgrad ein deutlich erhöhtes Risiko besteht ebenfalls ein Mammakarzinom auszubilden 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „öffentliches Interesse“ Bedeutung für Arbeitgeber Falsche Diagnosen bei den Frauen führen direkt zu Ausfällen bei der Arbeit mit entsprechenden wirtschaftlichen Verlusten Fällt die Frau für die Versorgung der Familie aus, so hat dies Auswirkungen bis hin zum Arbeitgeber des Lebenspartners, da dieser dann mehr privat gefordert wird und gegebenfalls im Berufsleben weniger verfügbar ist Dies kann aus der Unterstützung des Lebenspartners bei Arztbesuchen genauso resultieren, wie aus einer notwendigen Betreuung der Kinder. Damit sind bei Behandlung, basierend auf falsch positiven Ergebnissen Auswirkungen bis zu den Arbeitgebern der Lebenspartner zu erwarten 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Nachweis „öffentliches Interesse“ Fazit: Öffentliches Interesse besteht darin Fehldiagnosen bei Screening reduzieren Kosten der Erkrankung reduzieren Anzahl der Fehltherapien generell und vor allem die aufgrund einer fehlerhaften Diagnostik erfolgten Fehltherapien weiter zu verringern Nachfolgende Generation: Risiko für eigenes Erkrankungsrisiko besser abschätzen können Wirtschaftsstandort Deutschland: Verringerung des Ausfalls von Arbeitsleistung Es muss von einem hohen öffentlichen Interesse an einer Verringerung der Fehldiagnosen ausgegangen werden 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Schutz der Betroffenen
Schutz der Betroffenen Betroffene für Forschende nicht identifizierbar Überarbeitung der Bildmetadaten gewährleistet, dass die Identifizierung des Bilderzeugers nicht möglich ist Quelle der Bilddaten nicht identifizierbar Für Training benötigte Daten: Übermittlung zur Weiterverarbeitung entweder auf zusätzlich verschlüsselten Datenträgen oder durch einen Ende-zu-Ende verschlüsselten elektronischen Übertragungsweg Elektronische Signatur gewährleistet, dass Veränderungen der Daten für den Forscher unmittelbar ersichtlich sind Alle Personen zusätzlich auf Verschwiegenheit und Einhaltung datenschutzrechtlicher Vorschriften verpflichtet Ergebnis des trainierten Netzwerks ist vollständig anonymisiert 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Schutz der Betroffenen
Schutz der Betroffenen Betroffene für Forschende nicht identifizierbar Für Training werden Daten beim Export so aufbereitet, dass in den Originalbilddaten alle personenidentifizierbaren Merkmale entfernt werden Aufbereitung erfolgt in der untersuchenden Arztpraxis, AV-Vertrag zur Aufbereitung inkl. TOMs abgeschlossen Originaldaten stehen Forscher nie zur Verfügung Es verbleibt ein minimales Restrisiko, dass jemand außerhalb der jeweiligen Screeningeinheit, eine Frau aufgrund eines solch aufbereiteten Mammographiebildes re-identifizieren könnte Re-Identifikation kann nur durch Personen bzw. IT-Systemen erfolgen, denen bereits mindestens eine andere Mammographieuntersuchung der entsprechenden Person inklusive der personenidentifizierenden Merkmale als Referenzwert vorliegt Bei Mammographiescreenings: Gesunde Frauen werden untersucht, bei denen eine Voruntersuchung i.d.R. nicht vorliegt Wahrscheinlichkeit ist geschätzt deutlich kleiner als 1: 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Ergebnis Interessensabwägung
Ergebnis Interessensabwägung Überwiegendes öffentliches Interesse Sehr großes Interesse der Öffentlichkeit an Verringerung von Fehldiagnosen beim Mammographiescreening Risiko für betroffene Personen, dass ihre Daten Unbefugten offenbart werden, praktisch Null Dafür wahrscheinlich Interesse bei betroffener Person an Reduzierung von Fehldiagnosen selbst vorhanden: Bei Wiederholungsuntersuchungen im Screening Bei kurativen Mammographieuntersuchungen in der Nachsorge Bei Untersuchungen der eigenen Nachkommen (Ca. 4 bis 9% aller Neuerkrankungen besteht eine erbliche Vorbelastung*) Forschung sogar im Eigeninteresse der betroffenen Person Öffentliches Interesse überwiegt Interesse betroffener Person die Daten nicht zu nutzen erheblich * Quelle: 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Ergebnis Interessensabwägung
Ergebnis Interessensabwägung Fazit Erhebliches überwiegendes öffentliches Interesse liegt vor Damit insbesondere auch erhebliches überwiegendes Interesse des Verantwortlichen an der Verarbeitung gegenüber den Interessen der betroffenen Person an einem Ausschluss der Verarbeitung 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sanktionen

Abhilfebefugnisse Art. 58 Abs. 2 DS-GVO: Abhilfebefugnisse Befugnisse,
Abhilfebefugnisse Befugnisse, einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DS-GVO zu bringen Art. 58 Abs. 2 DS-GVO: Abhilfebefugnisse 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Abhilfebefugnisse Art. 58 Abs. 2 DS-GVO: Abhilfebefugnisse Befugnisse,
Abhilfebefugnisse Befugnisse, den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person entsprechend zu benachrichtigen eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung und die Unterrichtung der Empfänger der Daten über die angeordneten Maßnahmen anzuordnen Art. 58 Abs. 2 DS-GVO: Abhilfebefugnisse 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Sanktionsmöglichkeiten
Bußgelder der DS-GVO, Freiheitsstrafe BDSG n.F. Geldbußen bis zu 20 Mill Euro (bzw. 4% Umsatz) Verstöße bzgl. Artt. 5, 6, 7, 9 (fehlende oder fehlerhaft eingeholte Einwilligung) Artt (Verstoß gegen die Rechte der/des Betroffenen) Artt. 44 bis 49 (Unrechtmäßige Übermittlung in ein Drittland oder int. Organisation) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde Geldbußen bis zu 10 Mill Euro (bzw. 2% Umsatz) Verstöße bzgl. Art. 25 (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen) Art. 28 (Auftragsverarbeiter) Art. 29 (Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters) Art. 30 (Verzeichnis von Verarbeitungstätigkeiten) Art. 31 (Zusammenarbeit mit der Aufsichtsbehörde) Art. 32 (Sicherheit der Verarbeitung) Artt. 33 u. 34 (Meldung von Datenpannen an Aufsichtsbehörde und Betroffenen) Art. 35 (Datenschutzfolgenabschätzung) Artt. 36 bis 39 (Datenschutzbeauftragter) § 42 BDSG (neu) Freiheitsstrafe bis zu 3 Jahren oder Geldstrafe Nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen ohne Rechtsgrundlage einem Dritten übermitteln oder auf andere Art und Weise zugänglich machen und hierbei gewerblich handeln Freiheitsstrafe bis zu 2 Jahren oder Geldstrafe Nicht allgemein zugängliche personenbezogene Daten ohne Rechtsgrundlage verarbeiten oder durch unrichtige Angaben erschleicht und hierbei gegen Entgelthandeln oder in der Absicht handeln, sich oder einen anderen zu bereichern oder einen anderen zu schädigen 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Bußgelder Art. 83. Abs. 2 DS-GVO: Bei Verhängung zu berücksichtigen
Bußgelder Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, z.B. Meldete der Verantwortliche bzw. der Auftragsverarbeiter selbst das Vergehen an die Aufsichtsbehörde? Erfuhr die Aufsichtsbehörde vom Betroffenen davon? Ggfs. aufgrund der Tatsache, dass der Verantwortliche den Betroffenen auf diese Möglichkeit hinwies? Wurde die Aufsichtsbehörde erst über Dritte (z. B. Presse) informiert? Art, Schwere und Dauer des Verstoßes wie beispielsweise Liegt ein genereller Verstoß vor, d. h. man kann generell der gesetzlichen Pflicht nicht genügen? Sind es nur die konkreten Umstände des Einzelfalles, die ein Genügen der gesetzlichen Pflicht verhindern? Wie groß ist der potentielle Schaden für jeden einzelnen Betroffenen? Wie groß ist der Schaden insgesamt? Art. 83. Abs. 2 DS-GVO: Bei Verhängung zu berücksichtigen 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Bußgelder Art. 83. Abs. 2 DS-GVO: Bei Verhängung zu berücksichtigen
Bußgelder Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, d.h. insbesondere ist zu betrachten Wurde die gesetzliche Pflicht vom Verantwortlichen im Ablauf seiner Prozesse ignoriert? Wurde fahrlässig einem einzelnen Betroffenen sein Recht verweigert Umfang der Zusammenarbeit mit der Aufsichtsbehörde, z.B. Wurden der Aufsichtsbehörde unverzüglich alle benötigten Informationen gegeben? Wurden Anstrengungen unternommen, um nachteilige Auswirkungen zu mildern? Wurden Anstrengungen unternommen, damit künftig Verstöße dieser Art nicht mehr vorkommen? Sind etwaige einschlägige frühere Verstöße bekannt? Ist es Wiederholungstatbestand? Die Kategorien personenbezogener Daten, d.h. insbesondere ist zu betrachten Im Kontext der Gesundheitsversorgung/-forschung handelt es sich immer um besondere Kategorien von Daten, sodass ein Verstoß schwerer wiegt Art. 83. Abs. 2 DS-GVO: Bei Verhängung zu berücksichtigen 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Bußgelder Weiterhin zu beachten
Bußgelder Grundsatz: Verhängung von Geldbußen muss in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DS-GVO) Beachtung ErwGr. 148 „Im Falle eines geringfügigeren Verstoßes oder falls voraussichtlich zu verhängende Geldbuße eine unverhältnismäßige Belastung für eine natürliche Person bewirken würde, kann anstelle einer Geldbuße eine Verwarnung erteilt werden.“ Cave: ErwGr. 148 gilt nicht für juristische Personen! Weiterhin zu beachten 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Diskussion/Fragen? Kontakt: schuetze@medizin-informatik.org 04.10.2019
64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Frage: Download Präsentation?
→ Veranstaltungen → GMDS Jahrestagung 2019 64. GMDS-Jahrestagung 2019, 08. September 2019, Dortmund

Gemeinsame Datennutzung: Datenschutzrechtliche Rahmenbedingungen

Ähnliche Präsentationen

Präsentation zum Thema: "Gemeinsame Datennutzung: Datenschutzrechtliche Rahmenbedingungen"— Präsentation transkript:

Ähnliche Präsentationen

Über Projekt

Feedback

Anmelden

Anmeldung über soziales Netzwerk:

Gemeinsame Datennutzung: Datenschutzrechtliche Rahmenbedingungen

Ähnliche Präsentationen

Präsentation zum Thema: "Gemeinsame Datennutzung: Datenschutzrechtliche Rahmenbedingungen"— Präsentation transkript:

Ähnliche Präsentationen

Über Projekt

Feedback