Ich habe eine Frage zu § 16 Abs. 2 DSG NRW. Und zwar verlangt die Vorschrift, dass die Einwilligung in die Verarbeitung von Gesundheitsdaten schriftlich zu erfolgen habe.
Weder das BDSG oder die meisten LDSGs kennen ein solches Schriftformerfordernis bei der Verarbeitung von Gesundheitsdaten (außer § 19 Abs. 1 Satz 2 LDSG (RLP)), soweit sie überhaupt von der Öffnungsklausel in Art. 9 Abs. 4 DSGVO Gebrauch machen.
Ist diese Vorschrift im DSG NRW (analog im LSDG (RLP) nicht europarechtswidrig, weil die DSGVO kein Schriftformerfordernis kennt? Oder wäre die Vorschrift nicht zumindest europarechtlich auszulegen, dass es sich auch um eine elektronische Erklärung handeln kann (siehe EW 32)?
Nach § 67 b Abs. 2 Satz 1 SGB X SOLL die Einwilligung in die Verarbeitung von von Sozialdaten schriftlich erfolgen. Nach Satz 2 HAT sie bei genetischen, biometrischen Daten, Gesundheitsdaten und Betriebs- und Geschäftsgeheimnissen schriftlich zu erfolgen.
Schimmer geht immer. Das dürfte nicht gegen die DSGVO verstoßen.
Nur lockerer darf es nicht sein.
Art. 9 Abs. 4 DSGVO: Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.
“schriftlich” zu verlangen wäre eine zusätzliche Bedingung bzw. Beschränkung. Also unionsrechtskonform.
D., der sich “soll” als “muss” deutlicher wünschen würde; sonst wäre es ja keine Erhöhung des Schutzes. Ist dann aber wohl so auszulegen.
Soll das heißen, Online-Befragungen zu Gesundheitsthemen sind Verantwortlichen in Nordrhein-Westfalen und Rheinland-Pfalz verboten, aber im Rest von Deutschland erlaubt?
Nur insofern es genetische oder biometrische Daten betrifft, wobei die Begriffe der Auslegung in Art. 4 13,14 DSGVO unterliegen. Andere Gesundheitsdaten sind nicht von dieser Verschärfung betroffen und was schon als genetisch/eindeutig gilt, wird im Zweifel auszulegen sein und das passiert idr. erst wenn es eine Beschwerde oder einen Vorfall gibt.