Gesundheitsdaten in Formularen: was «besonders schützenswert» wirklich verlangt

Die meisten Organisationen, die Gesundheitsdaten halten, haben das nie geplant. Ein Anmeldeformular fragt nach Ernährungswünschen und erhält «Zöliakie, und ich nehme Immunsuppressiva». Ein Formular für die Schulreise fragt nach Medikamenten. Ein Sportverein lässt Mitglieder bestätigen, dass sie wettkampffähig sind. Ein HR-Onboarding fragt nach Notfallkontakt und «Umständen, die wir kennen sollten». Keine davon ist eine Arztpraxis — und jede bearbeitet nun Daten über die Gesundheit, mit allen Folgen daraus.

Dieser Beitrag richtet sich an den nichtklinischen Fall: Arbeitgebende, Schulen, Veranstalter, Vereine, Versicherer, Studios und alle anderen, die zu medizinischen Angaben kommen, weil ein Feld harmlos schien. Wenn Sie eine Praxis sind, zählen der Anwendungsfall Gesundheitswesen und das Berufsgeheimnis mehr als dieser Text; wenn Sie eine Studie führen, beginnen Sie mit Datenschutz in der klinischen Forschung.

Was tatsächlich als Gesundheitsdatum gilt

Breiter, als man denkt. Gesundheitsdaten sind nicht nur Diagnosen: Es sind alle Angaben, aus denen sich auf den körperlichen oder psychischen Gesundheitszustand einer Person schliessen lässt — vergangen, gegenwärtig oder künftig. Genau dieser Rückschluss erwischt das gewöhnliche Formular, denn die meisten dieser Felder nennen nie eine Krankheit.

Was das Etikett tatsächlich auslöst

«Besonders schützenswert» heisst nicht verboten, und es heisst nicht, dass Sie für jedes Allergiefeld eine Anwältin brauchen. Es heisst, dass sich fünf konkrete Dinge ändern.

1. Die Einwilligung muss ausdrücklich sein, wo Sie sich auf sie stützen. Art. 6 Abs. 7 lit. a nDSG verlangt für die Bearbeitung besonders schützenswerter Personendaten eine ausdrückliche Einwilligung, wenn die Einwilligung die Rechtfertigung ist. Ein vorangekreuztes Kästchen, eine gebündelte Zustimmung oder eine Fusszeile «mit dem Absenden stimmen Sie zu» genügen dafür nicht. Und: Einwilligung ist nicht immer die richtige Grundlage — bei Arbeitgebenden leisten Vertragserfüllung und gesetzliche Pflicht meist mehr, und die Einwilligung von Mitarbeitenden ist ohnehin schwach.
2. Eine Datenschutz-Folgenabschätzung wird wahrscheinlich. Art. 22 nDSG verlangt sie, wenn die Bearbeitung ein hohes Risiko mit sich bringt, und die umfangreiche Bearbeitung besonders schützenswerter Daten ist der Lehrbuchfall. Ein Verein mit 40 Mitgliedern ist nicht dort; eine Befragung zum Wohlbefinden bei 2000 Mitarbeitenden schon.
3. Die Bekanntgabe an Dritte braucht eine eigene Rechtfertigung, auch an Kolleginnen und Kollegen, die sie nicht benötigen. «Der ganze Vorstand ist im gemeinsamen Postfach» ist ein Bekanntgabeentscheid, ob ihn jemand bewusst getroffen hat oder nicht.
4. Die Sicherheit muss dem Risiko angemessen sein (Art. 8) — und das Risiko ist nun definitionsgemäss höher. Zugriffskontrolle, Verschlüsselung und ein kurzer Kreis von Lesenden sind keine Extras mehr.
5. Das Bearbeitungsverzeichnis gewinnt an Bedeutung. Kleine Unternehmen können nach der Verordnung von der Führungspflicht ausgenommen sein — die Ausnahme entfällt aber bei umfangreicher Bearbeitung besonders schützenswerter Daten oder Profiling mit hohem Risiko, wie in der nDSG-Checkliste beschrieben.

In der DSGVO entspricht dem Art. 9, der von einem Verbot ausgeht und dann Ausnahmen auflistet — ausdrückliche Einwilligung, Arbeits- und Sozialrecht, lebenswichtige Interessen und weitere. Bei EU-Teilnehmenden führen Sie beide Prüfungen; das praktische Ergebnis ähnelt sich meist, die Formulierung nicht.

Die Regeln, die je nach Rolle obendrauf kommen

Arbeitgebende

Art. 328b OR erlaubt es Arbeitgebenden, Daten über Arbeitnehmende nur zu bearbeiten, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind. Der EDÖB hält ausdrücklich fest, dass davon auch mit Einwilligung nicht zu Ungunsten der Arbeitnehmenden abgewichen werden darf — womit die verbreitetste Abkürzung entfällt. Praktisch heisst das: Dass jemand abwesend und arbeitsunfähig ist, dürfen Sie in der Regel festhalten; die Diagnose dürfen Sie in der Regel nicht verlangen. Gesundheitsfragebogen bei der Anstellung müssen sich auf das beschränken, was die konkrete Stelle tatsächlich verlangt.

Schulen und Organisationen mit Minderjährigen

Zwei Dinge stapeln sich: Die Daten sind besonders schützenswert, und die Person ist ein Kind. Nach schweizerischem Zivilrecht übt urteilsfähige Minderjährige höchstpersönliche Rechte selbst aus, was bedeutet, dass ältere Schülerinnen und Schüler bei den eigenen Daten mitreden — während bei jüngeren Kindern in der Regel die Eltern entscheiden. Kantonale Datenschutzregeln für Schulen kommen als weitere Schicht dazu und unterscheiden sich. Allergie- und Medikamentenlisten für ein Lager sind legitim und nötig; dieselbe Liste im Eltern-Chat ist es nicht. Der Anwendungsfall Bildungseinrichtungen geht auf den Ablauf ein.

Regulierte Berufe und ihre Hilfspersonen

Wo das Berufsgeheimnis nach Art. 321 StGB gilt — Ärztinnen, Zahnärzte, Apothekerinnen, Psychologen und ihre Hilfspersonen —, sitzt Strafrecht über dem Datenschutzrecht, und es erfasst alle, die im Rahmen der beruflichen Tätigkeit auf die Daten zugreifen können. Dazu gehört eine Softwareanbieterin, deren Personal Einsendungen lesen kann. Es ist der stärkste einzelne Grund für eine Praxis, ein Werkzeug zu wählen, bei dem die Anbieterin überhaupt nichts lesen kann.

Veranstalter, Vereine und Studios

Kein Spezialgesetz greift — und genau deshalb bearbeitet diese Gruppe am meisten Gesundheitsdaten mit der geringsten Struktur. Ein Marathon mit Fitnessdeklaration, ein Sommerlager mit Medikamentenlisten, ein Tattoostudio mit Screening auf blutübertragbare Infektionen: alles gewöhnliche nDSG-Bearbeitung besonders schützenswerter Daten, meist in einer Tabelle, meist ewig aufbewahrt. Wie es funktioniert, steht im Anwendungsfall Veranstaltungsanmeldung.

Das Formular so bauen, dass es weniger fragt

Wo es liegt und wer es lesen kann

Sobald feststeht, dass das Formular besonders schützenswerte Daten hält, ändert die Anbieterfrage ihre Form. Massgeblich ist nicht mehr «ist es verschlüsselt» — praktisch alles ist auf dem Transportweg und im Ruhezustand verschlüsselt —, sondern «wer kann es lesen». Bei einem gängigen Formularwerkzeug umfasst die ehrliche Antwort das Anbieterpersonal mit Produktivzugriff und dessen Unterauftragsbearbeiter, weil die Anbieterin die Schlüssel hält. Bei einer Mittagsumfrage ist das egal. Bei einer Liste mit Medikamenten von Kindern ist es die ganze Frage.

Zwei Eigenschaften lohnen sich für diese Kategorie: Ende-zu-Ende-Verschlüsselung, damit die Anbieterin gar nicht erst zum Kreis derjenigen gehört, die eine Einsendung lesen könnten, und eine Hosting- und Unterauftragskette, die Sie in einem Satz beschreiben können. Die Begründung zur ersten steht in Verschlüsselung im Ruhezustand vs. Ende-zu-Ende, die zweite in Serverstandort Schweiz bei Formularen. Datei-Uploads verdienen eigene Aufmerksamkeit, denn ein Zeugnis oder ein Foto trägt weit mehr mit sich als das Gefragte — siehe sichere Datei-Uploads.

Die drei Fragen, die tatsächlich gestellt werden

«Darf ich in einer Umfrage nach Gesundheit fragen?»

Ja, unter zwei Bedingungen, die leicht zu nennen und oft übersehen sind. Es muss für einen benennbaren Zweck erforderlich sein — und wenn die Umfrage anonym sein soll, enttarnen Gesundheitsangaben zusammen mit demografischen Aufschlüsselungen Personen in kleinen Populationen schneller als erwartet. Fragen zu Stress, Erschöpfung, Burnout und Schlaf sind Gesundheitsdaten, weshalb eine Befragung zum Wohlbefinden eine Bearbeitung besonders schützenswerter Daten ist und kein Stimmungsbild. Die Schwellenarithmetik steht in anonyme Mitarbeiterbefragung.

«Wie gehe ich mit sensiblen Gesundheitsangaben um, wenn ich sie habe?»

Kürzen Sie den Kreis der Lesenden, kürzen Sie die Aufbewahrung, und hören Sie auf, Kopien zu machen. In absteigender Wirkung: Benachrichtigungen mit Antworten abschalten, aus gemeinsamen Laufwerken und Sammelpostfächern heraushalten, Zugriff nach Rolle statt nach Vertrauen vergeben, nach festem Plan löschen und sicherstellen, dass für Exporte dieselbe Regel gilt wie fürs Original. Verschlüsselung zählt — steht auf dieser Liste für die meisten Organisationen aber an fünfter Stelle.

«Ist es sicher, Terminanfragen über ein Webformular zu erfassen?»

Ja, und meist sicherer als das, worauf man sonst ausweicht — eine unverschlüsselte E-Mail, ein abgetipptes Voicemail, eine Notiz am Empfang. Die Bedingungen: Das Formular fragt das Minimum, der Inhalt wird nicht in ein Postfach gespiegelt, und die Anbieterin kann nichts lesen, wenn Sie dem Berufsgeheimnis unterstehen. Eine Anfrage «Dienstagmorgen, bestehende Patientin, Rückrufnummer» ist eine Terminnachricht; eine Anfrage «Dienstagmorgen, Brustschmerzen seit Freitag» ist eine Krankengeschichte — und den Unterschied bestimmt die Formulierung des Feldes.

Fazit

Gesundheitsdaten kommen ohne Etikett. Sie kommen über ein Ernährungsfeld, ein Barrierefreiheitsfeld, einen Zeugnis-Upload und eine gut gemeinte offene Frage — und sind sie einmal im System, interessiert es die Regeln nicht, dass Sie ein Verein, eine Schule oder ein Kongressbüro sind statt einer Klinik. Ausdrückliche Einwilligung, wo die Einwilligung trägt, eine Folgenabschätzung, wo der Umfang real ist, angemessene Sicherheit, ein kurzer Kreis von Lesenden und ein Löschdatum.

Die gute Nachricht: Die stärkste Kontrolle ist zugleich die günstigste und braucht keine Technik — fragen Sie nach der Vorkehrung statt nach der Krankheit. Daten, die Sie nie erhoben haben, können nicht abfliessen, nicht herausverlangt, nicht falsch geteilt und nicht in drei Jahren in einer Tabelle vergessen werden.