Vorsicht, liebe Ärzte & Therapeuten: EuGH nimmt den Gesundheitssektor besonders in die Pflicht

1. Klassische Einwilligung
Wichtig ist zunächst die Einhaltung aller Anforderungen, die allgemein an eine Einwilligung bestehen. Diese ergeben sich aus Art. 4 Nr. 11 DSGVO.

Danach muss die Einwilligung:

• freiwillig sein – ohne Drohung und Zwang erfolgen und klar erkennbar sein. Wir empfehlen eine deutliche Unterscheidung von sonstigen Texten,
• für den bestimmten Fall erfolgen. Das heißt: Betroffene sind über den genauen Anlass und Umfang der Datenverarbeitung, zu informieren. Die Einwilligung muss einen konkreten Fall betreffen, der oder die Betroffene muss wissen, zu welchem Zweck und Anlass er / sie in die Erhebung und Verarbeitung seiner/ihrer Daten einwilligt. Ganz wichtig für alle Unternehmer:

• eindeutig und unmissverständlich sein, wir empfehlen klar den Begriff „einwilligen“ zu verwenden, es wurde bereits entschieden, dass Begriffe wie „zur Kenntnis genommen“ nicht ausreichen. Art 7 Abs. 2 DSGVO fordert eine „klare und einfache Sprache“.
  -> Darüber informieren, an wen die Daten gegeben falls weitergegeben werden,
• nach Art. 7 Abs. 3 einen Hinweis zum Widerrufsrecht der Einwilligung enthalten, Schließlich sollten Sie aufgrund der Nachweispflichten des Art. 7 Abs. 1 DSGVO dokumentieren, wann und wo Ihr Kunde / Patient Zeit, ggf. mit welcher IP-Adresse eingewilligt hat.

2. Qualifizierte Einwilligung

Sind Sie insbesondere im Gesundheitssektor tätig und arbeiten mit sensiblen Daten, dann wird eine qualifizierte Einwilligung gefordert. Das bedeutet, in diesen Fällen reicht die einfache Einwilligung nicht, das heißt auch nicht die Einwilligung, die von den Generatoren für Datenschutzerklärungen angeboten wird!

Eine solche qualifizierte Einwilligungserklärung ist nur in absoluten Ausnahmefällen – wie nach Art. 9 Abs. 2 h) für die Gesundheitsfürsorge im Zusammenhang der Arbeitsfähigkeit entbehrlich.
Für die qualifizierte Einwilligung ist es wichtig, dass keinerlei konkludentes Einverständnis ausreicht. Die Einwilligung muss ausdrücklich erfolgen.
Es muss zudem nach Art. 9 Abs. 2 DSGVO die speziellen Kategorien genannt werden, auf die sich die Einwilligung bezieht, zum anderen muss die besondere Verarbeitung in der Erklärung Erwähnung finden.

3. Datenschutz-Folgenabschätzung

Schließlich hat nach Art. 35 Abs. 3 b) DSGVO bei sensiblen Daten grundsätzlich eine Datenschutz-Folgenabschätzung zu erfolgen. Das bedeutet, das Gesetz geht davon aus, dass hier die Datenerhebung grundsätzlich ein hohes Risiko für die Rechte und Freiheiten natürlicher
Personen zur Folge hat. Insofern muss der Verantwortliche, der- oder diejenige der / die die Daten erhebt, vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchführen.