Können wir personenbezogene Daten zu gesundheitsbezogenen Interventionen sammeln, ohne gegen die EU-Datenschutzbestimmungen zu verstoßen?

Gemäß Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO) ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Grundsätzlich wird in der DSGVO (Artikel 9 Absatz 1) die Verarbeitung besonderer Kategorien personenbezogener Daten, der sogenannten „sensiblen“ Daten untersagt, zu denen beispielsweise Gesundheitsdaten gehören. Vorbehaltlich angemessener Garantien für die Grundrechte und Interessen der betroffenen Person kann das Recht der EU oder der Mitgliedstaaten jedoch aus Gründen eines wichtigen öffentlichen Interesses Ausnahmen vorsehen (Artikel 9 Absatz 2 Buchstabe g der DSGVO). Das Verbot der Verarbeitung sensibler Daten kann auch im Falle einer ausdrücklichen Einwilligung der betroffenen Person (d. h. des Teilnehmers) aufgehoben werden. Wenn also die Erhebung von Gesundheitsdaten (z. B. von HIV- oder COVID-Patienten) entweder für die Erhebung gemeinsamer oder programmspezifischer Indikatoren oder für Kontroll- oder Prüfzwecke (z. B. zur Beurteilung der Förderfähigkeit  der Teilnehmer) erforderlich ist, bietet die Dachverordnung 2021–2027 (Artikel 4) eine Rechtsgrundlage für die rechtmäßige Verarbeitung dieser Daten gemäß der DSGVO. Die nationale Gesetzgebung zum Datenschutz kann jedoch restriktiver sein. Es wird daher empfohlen, dass die Verwaltungsbehörden proaktiv Rat bei ihren nationalen Datenschutzbehörden suchen, wie sie die in der DSGVO und in der nationalen Gesetzgebung festgelegten Verpflichtungen zur Datenverarbeitung einhalten können. Es kann in der Tat sein, dass einige Mitgliedstaaten neue Gesetze erlassen müssen, um die Überwachungsanforderungen im Rahmen des ESF+ zu erfüllen, damit die Datenerhebung rechtmäßig ist. Am Rande sei darauf hingewiesen, dass Datensätze pseudonymisiert werden können (z. B. durch die Verwendung einer künstlich erzeugten eindeutigen ID-Nummer, die anhand eines Verschlüsselungssystems von den personenbezogenen Daten getrennt werden kann).