Datenschutz auf dem Prüfstand EuGH-Urteile zu Gesundheitsdaten

Anbieter zum Thema

ISiCO GmbH

Governikus GmbH & Co. KG

Neue EuGH-Urteile schärfen die Grenzen der Datenverarbeitung im Gesundheitswesen. Sie betonen den Schutz sensibler Informationen und verpflichten Unternehmen zu noch mehr Datensorgfalt.

Der Schutz personenbezogener Gesundheitsdaten gewinnt in der digital vernetzten Welt immer stärker an Bedeutung. In den letzten Jahren hat der Europäische Gerichtshof (EuGH) mit mehreren richtungsweisenden Urteilen die rechtlichen Rahmenbedingungen für den Datenschutz im Gesundheitsbereich maßgeblich präzisiert. Dabei stehen besonders die Verarbeitung sensibler Gesundheitsdaten unter der Datenschutz-Grundverordnung (DSGVO) sowie die Rechte der betroffenen Personen im Fokus. Von der Rechtmäßigkeit der Datenverarbeitung bis hin zu Schadensersatzansprüchen setzen diese Entscheidungen neue Maßstäbe für Unternehmen, Gesundheitseinrichtungen und Datenschutzverantwortliche in der gesamten EU.

Dieser Artikel bietet einen Überblick über die wichtigsten EuGH-Urteile seit 2023, die den Datenschutz im Gesundheitswesen gestalten und die Anforderungen an den Umgang mit Gesundheitsdaten verschärfen.

Urteil vom 21. Dezember 2023 (C-667/21): Verarbeitung von Gesundheitsdaten, Anforderungen an die Rechtmäßigkeit nach Art. 9 und Art. 6 DSGVO, Schadensersatz

Der EuGH befasste sich 2023 mit der Rechtmäßigkeit der Verarbeitung von Gesundheitsdaten eines Arbeitnehmers durch einen medizinischen Dienst, der zugleich Arbeitgeber des Betroffenen ist. Der Medizinische Dienst erstellte ein medizinisches Gutachten zur Arbeitsunfähigkeit seines eigenen Mitarbeiters. Dieser Mitarbeiter erfuhr von der Verarbeitung seiner Gesundheitsdaten und forderte Schadensersatz. Der EuGH entschied, dass die gesetzliche Erlaubnis zur Verarbeitung nach Art. 9 Abs. 2 Buchst. h DSGVO für medizinische Dienste auch dann gilt, wenn sie gleichzeitig Arbeitgeber sind. Zudem gebe es keine weiteren ungeschriebenen Einschränkungen der Verarbeitungserlaubnis.

Der EuGH stellte außerdem fest, dass keine zusätzlichen Datenschutzanforderungen bezüglich des Zugangs von Kollegen zu Gesundheitsdaten über Art. 9 Abs. 3 DSGVO hinaus bestehen. Jede Verarbeitung muss jedoch sowohl die speziellen Anforderungen des Art. 9 DSGVO als auch die allgemeinen Voraussetzungen des Art. 6 DSGVO erfüllen. Nationale Gesetzgeber können strengere Datenschutzmaßnahmen vorschreiben, solange die tatsächliche Ausübung der Datenverarbeitungsbefugnis weiterhin gewährleistet bleibt.

Zum Schadenersatz nach Art. 82 DSGVO urteilte der EuGH, dass dieser rein kompensatorisch ausgestaltet ist – er soll also ausschließlich konkrete Schäden ausgleichen und verfolgt keinen Strafzweck. Die Haftung setzt ein Verschulden voraus, wobei die Beweislast beim Verantwortlichen liegt, der darlegen muss, dass ihm kein Verschulden anzulasten ist. Der Grad des Verschuldens beeinflusst die Höhe des Schadensersatzes nicht und auch ein Mitverschulden der betroffenen Person mindert den Anspruch nicht.

Urteil vom 4. Oktober 2024 (C-21/23): Weite Auslegung von Gesundheitsdaten, Einwilligungserfordernis, Datenschutzverstöße als Wettbewerbsverstöße

Ausgangspunkt dieses Verfahrens war ein Konflikt zwischen zwei Apothekenbetreibern. Eine der Parteien vertrieb seit 2017 apothekenpflichtige, aber nicht verschreibungspflichtige, Arzneimittel über den „Amazon Marketplace“. Bei der Onlinebestellung dieser Arzneimittel mussten die Kunden Angaben wie Namen, Lieferadressen und die für die Individualisierung der Arzneimittel notwendigen Informationen eingeben. Die andere Partei erhob Klage und beantragte, es dem Mitbewerber zu verbieten, Arzneimittel über den „Amazon Marketplace“ zu vertreiben, solange nicht sichergestellt sei, dass die Kunden vorab die Möglichkeit hätten, in die Verarbeitung von Gesundheitsdaten einzuwilligen.

Der EuGH entschied, dass bei einer Bestellung von apothekenpflichtigen Arzneimitteln über eine Online-Plattform Kundendaten wie etwa der Name, die Lieferadresse oder für die Individualisierung der Arzneimittel notwendige Informationen als Gesundheitsdaten einzuordnen sind. Durch die Verarbeitung dieser Daten können Rückschlüsse auf den Gesundheitszustand einer natürlichen Person gezogen werden. Da bei der Verarbeitung von Gesundheitsdaten ein besonders hohes Schutzniveau gewährleistet werden muss, ist hierfür eine speziell darauf ausgerichtete Einwilligung erforderlich.

In Frage stand auch das Recht von Wettbewerbern bei Verstößen gegen die DSGVO rechtliche Schritte einzuleiten. Dazu urteilte der EuGH, dass Verstöße gegen die DSGVO nicht nur von Aufsichtsbehörden, sondern auch von Wettbewerbern beanstandet werden können, sofern das nationale Recht dies zulässt. Die Möglichkeit von Wettbewerbern bei Verstößen gegen die DSGVO rechtliche Schritte einzuleiten, trage dazu bei, die Rechte der betroffenen Personen zu stärken und ihnen ein hohes Schutzniveau zu gewährleisten.

Urteil vom 4. September 2025 (C-413/23 P): Personenbezug bei Pseudonymisierung

In diesem Verfahren ging es um die Frage, wann Daten als personenbezogen einzustufen sind und auf wessen Perspektive dabei abzustellen ist.

Dem Sachverhalt liegt die Abwicklung einer spanischen Bank durch den Einheitlichen Abwicklungsausschuss (Single Resolution Board – SRB) zugrunde. Im Anschluss an diese Abwicklung leitete der SRB ein Verfahren ein, um ehemaligen Aktionären und Gläubigern das Recht auf Anhörung zu gewähren, bevor über eine mögliche Entschädigung entschieden werden sollte. Im Rahmen dessen sammelte der SRB Stellungnahmen der Betroffenen, die für die Auswertung pseudonymisiert an eine Wirtschaftsprüfergesellschaft weitergeleitet wurden. Jede Stellungnahme war mit einem einzigartigen Code versehen. Alle direkt identifizierenden Informationen wurden entfernt. Ausschließlich der SRB besaß „den Schlüssel“, um die Codes wieder den konkreten Personen zuzuordnen.

Betroffene beschwerten sich, weil sie nicht über die Weitergabe informiert worden waren. Der SRB argumentierte, die pseudonymisierten Daten seien für den Wirtschaftsprüfer keine personenbezogenen Daten. Der EuGH entschied: Entscheidend ist die Sicht des Verantwortlichen. Solange der Empfänger keine Mittel hat, die nach allgemeinem Ermessen wahrscheinlich für eine Re-Identifizierung genutzt werden könnten, liegt kein personenbezogenes Datum vor. Damit wurde die Theorie des relativen Personenbezugs ausdrücklich bestätigt.

Gesundheitseinrichtungen sind vielfach zur Pseudonymisierung ihrer Datensätze verpflichtet. Die Entscheidung betont und unterstreicht die Wichtigkeit eines wirksamen und belastbaren Pseudonymisierungskonzepts. Da es sich für Dienstleister vielfach nicht länger um personenbezogene Daten handelt, sind außerdem die Verträge anzupassen, zu überprüfen und gegebenenfalls nachzuziehen, um sicherzustellen, dass Daten, für die der Verantwortliche weiterhin die datenschutzrechtliche Verantwortung trägt, nicht auf eine Art und Weise verarbeitet werden, die mit der DSGVO unvereinbar ist.

Fazit

Mit seinen Entscheidungen der letzten Zeit unterstreicht der EuGH, dass der Schutz von Gesundheitsdaten zu den zentralen Aufgaben einer modernen Gesundheitsversorgung gehört. Datenschutz bildet einen wesentlichen Bestandteil einer verantwortungsvollen und rechtskonformen Datenverarbeitung. Unternehmen und Einrichtungen im Gesundheitssektor sind gefordert, ihre Verfahren regelmäßig zu prüfen und an die Vorgaben der DSGVO anzupassen – etwa in Bezug auf Einwilligungen, Schadensersatzfragen und den Umgang mit pseudonymisierten Daten.

Die Rechtsprechung des EuGH bietet klare Orientierung und präzisiert die Anforderungen an den Umgang mit sensiblen Daten. Sie betont die Bedeutung von Sorgfalt, Transparenz und technischer Sicherheit als wesentliche Voraussetzungen für Vertrauen und Rechtssicherheit.

(ID:50608393)