• Darf ein Unternehmen personenbezogene Daten weitergeben, wenn ein Mensch in Lebensgefahr schwebt? Art. 6 Abs. 1 lit. d DSGVO ermöglicht die Datenverarbeitung zum Schutz lebenswichtiger Interessen. Die Rechtsgrundlage ist jedoch für besondere Situationen gedacht und rechtfertigt keine allgemeine Datenverarbeitung aus Sicherheits- oder Vorsorgegründen.

Inhaltsverzeichnis

  1. Was regelt Art. 6 Abs. 1 lit. d DSGVO?
  2. Was sind lebenswichtige Interessen?
  3. Wann ist die Verarbeitung erforderlich?
  4. Muss die betroffene Person einwilligungsunfähig sein?
  5. Schutz der Interessen anderer Personen
  6. Gesundheitsdaten und Art. 9 DSGVO
  7. Praktische Beispiele
  8. Abgrenzung zu anderen Rechtsgrundlagen
  9. Welche Datenschutzpflichten gelten im Notfall?
  10. Fazit
  11. Quellen
  12. Weitere Artikel unserer Reihe zu Art. 6 DSGVO

1. Was regelt Art. 6 Abs. 1 lit. d DSGVO?

Art. 6 Abs. 1 lit. d DSGVO erlaubt eine Datenverarbeitung, wenn
„die Verarbeitung [...] erforderlich [ist], um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen“.
Die Vorschrift soll verhindern, dass der Datenschutz notwendige Maßnahmen zum Schutz von Menschenleben oder vor schwerwiegenden Gesundheitsgefahren behindert. Dabei muss die gefährdete Person nicht selbst diejenige sein, deren Daten verarbeitet werden. Die Rechtsgrundlage erfasst ausdrücklich auch den Schutz anderer natürlicher Personen.

Ein Beispiel:

Ein Teilnehmer einer organisierten Freizeitveranstaltung erleidet einen schweren Unfall und verliert das Bewusstsein. Der Veranstalter übermittelt dem Rettungsdienst die ihm bekannten Angaben zur Identität des Teilnehmers und zu relevanten gesundheitlichen Besonderheiten. Soweit diese Angaben für die Notfallversorgung erforderlich sind, kann Art. 6 Abs. 1 lit. d DSGVO die Verarbeitung rechtfertigen. Bei Gesundheitsdaten sind zusätzlich die Voraussetzungen des Art. 9 DSGVO zu beachten.

2. Was sind lebenswichtige Interessen?

Nicht jedes wichtige oder schutzwürdige Interesse ist zugleich ein lebenswichtiges Interesse im Sinne der DSGVO.

Erwägungsgrund 46 beschreibt den Schutz eines Interesses, das für das Leben der betroffenen Person oder einer anderen natürlichen Person wesentlich ist.

Im Mittelpunkt stehen deshalb insbesondere:
  • der Schutz des menschlichen Lebens,
  • die Abwehr akuter Lebensgefahr,
  • die Vermeidung schwerwiegender gesundheitlicher Schäden.

Die Rechtsgrundlage ist eng auszulegen. Der Europäische Datenschutzausschuss beschreibt sie in seinem Datenschutzleitfaden für kleine und mittlere Unternehmen als Grundlage für seltene, besondere Notfallsituationen.

Nicht jedes Sicherheitsinteresse genügt

Ein Unternehmen kann Art. 6 Abs. 1 lit. d DSGVO nicht pauschal für sämtliche Maßnahmen verwenden, die der allgemeinen Sicherheit dienen. Beispielsweise rechtfertigt der Wunsch, mögliche spätere Unfälle besser untersuchen zu können, nicht automatisch eine umfassende und dauerhafte Überwachung von Beschäftigten oder Besuchern.
Hierfür müssen andere Rechtsgrundlagen geprüft werden.

Rechtliche Bewertung: Die entscheidende Grenze verläuft zwischen der erforderlichen Reaktion auf eine konkrete Gefährdung und einer allgemeinen Vorsorgemaßnahme. Letztere wird nicht allein durch ihren Sicherheitszweck zu einer Verarbeitung zum Schutz lebenswichtiger Interessen.

3. Wann ist die Verarbeitung erforderlich?

Auch Art. 6 Abs. 1 lit. d DSGVO setzt voraus, dass die konkrete Verarbeitung erforderlich ist. Es genügt deshalb nicht, dass die Daten im Zusammenhang mit einer gefährlichen Situation stehen. Vielmehr muss geprüft werden, welche Informationen tatsächlich benötigt werden, um die Gefahr abzuwenden oder die notwendige Hilfe zu ermöglichen.

Beispiel: Weitergabe an den Rettungsdienst

Bei einem medizinischen Notfall kann es erforderlich sein, dem Rettungsdienst Informationen über bekannte Allergien, Medikamente oder Vorerkrankungen mitzuteilen. Das bedeutet jedoch nicht, dass der gesamte vorhandene Datenbestand über die betreffende Person weitergegeben werden darf.

Maßgeblich sind die Informationen, die für die konkrete Hilfeleistung relevant sind.

Der Umfang richtet sich nach der Gefahrenlage

Die Erforderlichkeit ist anhand der jeweiligen Situation zu beurteilen. In einer akuten Notlage kann eine sofortige Datenübermittlung notwendig sein, obwohl für eine ausführliche rechtliche Prüfung keine Zeit bleibt.

Das entbindet den Verantwortlichen jedoch nicht von der Pflicht, den Umfang der Verarbeitung auf das Notwendige zu begrenzen.

4. Muss die betroffene Person einwilligungsunfähig sein?

Hier ist eine wichtige Unterscheidung erforderlich. Art. 6 Abs. 1 lit. d DSGVO verlangt seinem Wortlaut nach nicht, dass die betroffene Person außerstande ist, eine Einwilligung zu erteilen. Eine solche Voraussetzung enthält dagegen Art. 9 Abs. 2 lit. c DSGVO für die Verarbeitung besonderer Kategorien personenbezogener Daten.

Beide Vorschriften dürfen deshalb nicht gleichgesetzt werden.

Art. 6 Abs. 1 lit. d DSGVO

Die Verarbeitung muss zum Schutz lebenswichtiger Interessen erforderlich sein.
Eine fehlende Einwilligungsfähigkeit ist kein ausdrückliches Tatbestandsmerkmal.

Art. 9 Abs. 2 lit. c DSGVO

Werden besondere Kategorien personenbezogener Daten verarbeitet, kann diese Ausnahme einschlägig sein, wenn die Verarbeitung zum Schutz lebenswichtiger Interessen erforderlich ist und die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.

Das kann beispielsweise bei einer bewusstlosen Person der Fall sein.

Für die Praxis bedeutet das: Eine Notfallsituation ist nicht automatisch mit einer Einwilligungsunfähigkeit gleichzusetzen. Bei Gesundheitsdaten muss sorgfältig geprüft werden, welche Ausnahme des Art. 9 Abs. 2 DSGVO tatsächlich einschlägig ist.

5. Schutz der Interessen anderer Personen

Art. 6 Abs. 1 lit. d DSGVO erfasst nicht nur den Schutz der Person, deren Daten verarbeitet werden. Auch lebenswichtige Interessen anderer natürlicher Personen können eine Verarbeitung rechtfertigen.
Allerdings enthält Erwägungsgrund 46 eine wichtige Einschränkung:
„Personenbezogene Daten sollten grundsätzlich nur dann aufgrund eines lebenswichtigen Interesses einer anderen natürlichen Person verarbeitet werden, wenn die Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann.“
Damit wird deutlich, dass diese Rechtsgrundlage nicht als allgemeiner Auffangtatbestand für jede Maßnahme zum Schutz Dritter dienen soll.

Beispiel: Gefahr für andere Personen

Wird bei einer Veranstaltung eine konkrete, schwerwiegende Gefahr für andere Teilnehmer festgestellt, kann es notwendig werden, bestimmte personenbezogene Informationen weiterzugeben, um die Gefahr abzuwenden. Ob Art. 6 Abs. 1 lit. d DSGVO einschlägig ist, hängt unter anderem von der Art und Schwere der Gefahr, der erforderlichen Verarbeitung und dem Vorliegen anderer Rechtsgrundlagen ab.

Die Vorschrift erlaubt insbesondere keine unbegrenzte Weitergabe personenbezogener Informationen mit der pauschalen Begründung, dies diene dem Schutz anderer Menschen.

6. Gesundheitsdaten und Art. 9 DSGVO

Bei medizinischen Notfällen werden häufig Gesundheitsdaten verarbeitet. Diese gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO.

Für ihre Verarbeitung müssen zwei Ebenen geprüft werden:

Erstens: Es muss eine Rechtsgrundlage nach Art. 6 DSGVO vorliegen.

Zweitens: Zusätzlich muss eine Ausnahme vom Verarbeitungsverbot nach Art. 9 Abs. 2 DSGVO einschlägig sein.

Art. 9 Abs. 2 lit. c DSGVO

Diese Vorschrift erlaubt die Verarbeitung besonderer Kategorien personenbezogener Daten, wenn sie zum Schutz lebenswichtiger Interessen erforderlich ist und die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.

Die Regelung kann beispielsweise bei der notwendigen Weitergabe gesundheitsbezogener Informationen über eine bewusstlose Person relevant sein.

Andere Ausnahmen bleiben möglich

Nicht jede medizinisch erforderliche Datenverarbeitung muss auf Art. 9 Abs. 2 lit. c DSGVO gestützt werden. Bei der medizinischen Versorgung kann insbesondere Art. 9 Abs. 2 lit. h DSGVO einschlägig sein, sofern dessen Voraussetzungen einschließlich der Anforderungen des Art. 9 Abs. 3 DSGVO erfüllt sind.

Auch andere Ausnahmetatbestände können je nach Sachverhalt relevant werden.

Meine Bewertung: Gerade bei medizinischen Notfällen sollte nicht schematisch dieselbe Rechtsgrundlage für sämtliche Beteiligten angenommen werden. Ein Veranstalter, der Informationen an den Rettungsdienst weitergibt, verarbeitet Daten in einer anderen Rolle und möglicherweise auf einer anderen Rechtsgrundlage als das Krankenhaus, das anschließend die Behandlung durchführt.

7. Praktische Beispiele

Medizinischer Notfall bei einer Veranstaltung

Ein Besucher bricht zusammen und ist nicht mehr ansprechbar. Der Veranstalter übermittelt dem Rettungsdienst die vorhandenen, für die Behandlung notwendigen Angaben.

Art. 6 Abs. 1 lit. d DSGVO kann die Verarbeitung rechtfertigen. Bei Gesundheitsdaten ist zusätzlich Art. 9 DSGVO zu prüfen.

Schwerer Unfall bei einer betreuten Freizeitaktivität

Ein Teilnehmer wird schwer verletzt. Die verantwortliche Einrichtung informiert den Rettungsdienst und übermittelt erforderliche Angaben zur Person sowie gegebenenfalls relevante gesundheitliche Informationen.

Auch hier kann der Schutz lebenswichtiger Interessen die Verarbeitung tragen.

Naturkatastrophen und humanitäre Notfälle

Erwägungsgrund 46 nennt ausdrücklich humanitäre Notfälle, insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen.

Beispielsweise kann die Verarbeitung von Angaben zu vermissten oder gefährdeten Personen notwendig sein, um Rettungsmaßnahmen zu koordinieren. Dabei ist jeweils zu prüfen, ob die konkrete Verarbeitung auf Art. 6 Abs. 1 lit. d DSGVO oder auf eine andere einschlägige Rechtsgrundlage gestützt werden kann.

Allgemeine Sicherheitsüberwachung

Ein Unternehmen möchte sämtliche Bewegungen seiner Beschäftigten dauerhaft erfassen, um im Fall eines Unfalls möglichst viele Informationen zur Verfügung zu haben. Art. 6 Abs. 1 lit. d DSGVO rechtfertigt eine solche allgemeine Überwachung nicht allein aufgrund des abstrakten Sicherheitsinteresses.

Die Zulässigkeit muss anhand der für die konkrete Verarbeitung einschlägigen Vorschriften beurteilt werden.

8. Abgrenzung zu anderen Rechtsgrundlagen

Einwilligung – Art. 6 Abs. 1 lit. a DSGVO

Eine Einwilligung kann eine Verarbeitung rechtfertigen, wenn die gesetzlichen Voraussetzungen erfüllt sind.

In akuten Notfällen kann es jedoch erforderlich sein, personenbezogene Daten ohne vorherige Einwilligung zu verarbeiten.

Art. 6 Abs. 1 lit. d DSGVO schafft hierfür unter seinen Voraussetzungen eine eigenständige Rechtsgrundlage.

Rechtliche Verpflichtung – Art. 6 Abs. 1 lit. c DSGVO

Besteht eine konkrete gesetzliche Pflicht zur Verarbeitung personenbezogener Daten, kann Art. 6 Abs. 1 lit. c DSGVO einschlägig sein.

Nicht jede Maßnahme zur Gefahrenabwehr beruht jedoch auf einer solchen gesetzlichen Verpflichtung. Die einschlägige Rechtsgrundlage hängt deshalb von der konkreten Aufgabe und der rechtlichen Stellung des Verantwortlichen ab.

Öffentliches Interesse – Art. 6 Abs. 1 lit. e DSGVO

Insbesondere bei behördlichen Maßnahmen zur Gefahrenabwehr oder im öffentlichen Gesundheitswesen kann Art. 6 Abs. 1 lit. e DSGVO relevant sein. Voraussetzung ist eine entsprechende, dem Verantwortlichen übertragene Aufgabe auf geeigneter Rechtsgrundlage.

Berechtigte Interessen – Art. 6 Abs. 1 lit. f DSGVO

Allgemeine Sicherheitsmaßnahmen privater Unternehmen können unter bestimmten Voraussetzungen auf berechtigte Interessen gestützt werden. Hierfür müssen insbesondere die Erforderlichkeit und die Interessenabwägung geprüft werden.

Die Rechtsgrundlage des Art. 6 Abs. 1 lit. d DSGVO sollte dagegen den besonderen Situationen vorbehalten bleiben, in denen tatsächlich lebenswichtige Interessen geschützt werden müssen.

9. Welche Datenschutzpflichten gelten im Notfall?

Auch eine Verarbeitung nach Art. 6 Abs. 1 lit. d DSGVO unterliegt den allgemeinen Grundsätzen des Datenschutzrechts.
Dazu gehören insbesondere:
  • Zweckbindung: Die Daten dürfen nicht ohne Weiteres für andere Zwecke verwendet werden.
  • Datenminimierung: Es dürfen nur die erforderlichen Informationen verarbeitet werden.
  • Speicherbegrenzung: Daten dürfen nicht allein wegen des früheren Notfalls unbegrenzt gespeichert werden.
  • Integrität und Vertraulichkeit: Auch in einer Notfallsituation sind angemessene Schutzmaßnahmen zu beachten.
  • Rechenschaftspflicht: Der Verantwortliche muss die Rechtmäßigkeit seiner Verarbeitung nachweisen können.

Auch die Informationspflichten der Art. 13 und 14 DSGVO entfallen nicht automatisch. Ob und wann eine Information erfolgen muss oder eine gesetzliche Ausnahme greift, ist gesondert zu prüfen.

In einer akuten Gefährdungslage steht die erforderliche Hilfeleistung im Vordergrund. Die DSGVO verlangt nicht, dass zunächst eine Datenschutzerklärung übergeben wird, bevor lebensrettende Maßnahmen eingeleitet werden.

10. Fazit

Art. 6 Abs. 1 lit. d DSGVO ermöglicht die Verarbeitung personenbezogener Daten zum Schutz lebenswichtiger Interessen. Die Vorschrift ist insbesondere für außergewöhnliche Gefahren- und Notfallsituationen relevant. Sie ist jedoch keine allgemeine Rechtsgrundlage für Sicherheitsmaßnahmen oder vorsorgliche Datensammlungen.

Entscheidend ist, ob die konkrete Verarbeitung zum Schutz des Lebens oder vor einer schwerwiegenden Gesundheitsgefährdung tatsächlich erforderlich ist. Bei Gesundheitsdaten müssen zusätzlich die Voraussetzungen des Art. 9 DSGVO erfüllt sein.

Verantwortliche sollten deshalb nicht allein auf den Begriff des Notfalls abstellen, sondern prüfen, welche Informationen für welchen Zweck und auf welcher Rechtsgrundlage verarbeitet werden dürfen.

11. Quellen

12. Weitere Artikel unserer Reihe zu Art. 6 DSGVO

Die Datenschutz-Grundverordnung enthält sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. In unserer Artikelreihe erläutern wir ihre Voraussetzungen und die praktische Bedeutung.