9 Abs. 3 ergänzt den Ausnahmetatbestand des Art. 9 Abs. 2 lit. h und lässt die Verarbeitung in Fällen zu, in denen die besonderen Datenkategorien nach Art. 9 Abs. 1 von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und die Verarbeitung durch Personen erfolgt, die nach dem Recht eines Mitgliedstaates, nach Unionsrecht oder aufgrund von Vorschriften national zuständiger Stellen einem Berufsgeheimnis oder einer Geheimhaltungspflicht unterliegen.[349]
220
Art. 9 Abs. 3 findet seine Vorgängerregelung in Art. 8 Abs. 3 DSRL.
221
Hinsichtlich der Systematik und Stellung des Art. 9 Abs. 3 lässt sich Folgendes festhalten: Art. 9 Abs. 3 und Art. 9 Abs. 2 lit. h stellen einen einheitlichen Regelungskomplex dar, bei denen die jeweiligen Voraussetzungen kumulativ vorliegen müssen.[350] Insofern verschränkt Art. 9 Abs. 3 die im Rahmen von Art. 9 Abs. 1 geltenden datenschutzrechtlichen Vorschriften, sofern diese zu Zwecken nach Art. 9 Abs. 2 lit. h verarbeitet werden, mit dem Berufsgeheimnis.[351] Folglich erfasst Art. 9 Abs. 3 alle Fälle des Art. 9 Abs. 1, sofern diese zu Zwecken nach Art. 9 Abs. 2 lit. h verarbeitet werden.
222
Hinsichtlich des Berufsgeheimnisses und der Geheimhaltungspflicht können sich aus dem nationalen Recht zusätzliche Verarbeitungsvoraussetzungen ergeben. Art. 9 Abs. 3 enthält insofern eine Öffnungsklausel für mitgliedstaatliche Regelungen.[352] Indem Art. 9 Abs. 3 hinsichtlich der inhaltlichen bzw. qualitativen Anforderungen an die Regelungen des Berufsgeheimnisses der Mitgliedstaaten aufweist, könnten auf den ersten Blick die jeweiligen mitgliedstaatlichen Regelungsinhalte stark voneinander abweichen. Gleichwohl werden diese Unterschiede bereits durch Art. 90 insofern abgemildert, indem mitgliedstaatliche Regelungen notwendig und verhältnismäßig sein müssen, um das Recht auf Schutz der personenbezogenen Daten mit der Pflicht zur Geheimhaltung in Einklang zu bringen.
223
Als Schutzmaßnahme hinsichtlich der von Art. 9 Abs. 2 lit. h insbesondere erfassten Gesundheits- und Sozialdaten nennt Art. 9 Abs. 3 zunächst das Berufsgeheimnis. Insofern werden insbesondere Fallkonstellationen von Art. 9 Abs. 3 erfasst, in denen die Daten von Fachpersonal, das einem Berufsgeheimnis unterliegt, verarbeitet werden. Gleichwohl ist stets entscheidend, dass die verarbeitende Person oder die Person, die die Verarbeitung verantwortet dem Berufsgeheimnis unterliegt. Insofern umfasst der Anwendungsbereich des Art. 9 Abs. 3 nicht nur das Fachpersonal.[353]
224
Diese erste Tatbestandsvariante ist dabei im Zusammenhang mit Art. 90 zu lesen und unterstreicht die Kompetenz der Mitgliedstaaten nationale Regelungen zu erlassen. Insofern ist in Deutschland vor allem § 203 StGB relevant. § 203 Abs. 1 StGB benennt die Berufsgeheimnisträger, wie etwa Ärzte, Psychologen, Notare oder Rechtsanwälte (vgl. dazu §§ 43a Abs. 2 BROA, § 18 BNotO). Darüber hinaus erweitert § 203 Abs. 3 S. 2 StGB den Anwendungsbereich des Berufsgeheimnisses auf alle berufsmäßig tätigen Gehilfen.[354] Darunter fallen etwa Arzthelfer/-innen, aber gegebenenfalls auch Mitarbeiter des administrativen Bereichs einer Arztpraxis. Eine Ergänzung zum Berufsgeheimnis findet sich im Zeugnisverweigerungsrecht aus § 53 StPO.[355] Auch das Sozialgeheimnis aus § 35 Abs. 1 SGB I stellt ein Berufsgeheimnis i.S.d. Art. 9 Abs. 3 dar, so dass auch Sozialleistungsträger erfasst sind. Dabei erstreckt sich das Sozialgeheimnis auch auf das Hilfspersonal und Auftragsverarbeiter, vgl. § 80 SGB X.[356]
225
Daneben erfasst Art. 9 Abs. 3 auch die Verarbeitung durch eine andere Person, die einer Geheimhaltungspflicht unterliegt. Um aber das Geheimhaltungserfordernis nicht lückenhaft auszufüllen ist hierbei davon auszugehen, dass die Geheimhaltungspflicht ein ähnliches Schutzniveau aufweisen muss, wie das der Berufsgeheimnisträger. Insofern stellt die Geheimhaltungspflicht gegenüber den Berufsgeheimnisträgern kein qualitatives Weniger dar.[357] Dies ist z.B. bei Rechtsanwälten und den Schweigepflichten nach § 203 Abs. 1 StGB gegeben. Insofern ergeben sich die Geheimhaltungspflichten unmittelbar aus dem Gesetz.[358] Letztlich gewährt die Regelung der Geheimhaltungspflicht einen abschließenden Schutz von Gesundheitsdaten, indem sichergestellt wird, dass nicht nur Berufsgeheimnisträger, sondern im Rahmen eines oftmals arbeitsteiligen Vorgehens auch durch andere Personen ermöglicht werden, die einer entsprechenden Geheimhaltungsverpflichtung unterliegen.[359]
4. Zusätzliche Bedingungen nach Art. 9 Abs. 4
226
Art. 9 Abs. 4 sieht zusätzliche Bedingungen im Falle der Verarbeitung von biometrischen, genetischen und von Gesundheitsdaten vor.
227
So können die Mitgliedstaaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten. Insofern stellt Art. 9 Abs. 4 eine weitere Öffnungsklausel dar, die den Mitgliedstaaten eine Gesetzgebungskompetenz zugesteht.[360]
228
Inhaltlich legt Art. 9 Abs. 4 die Kompetenz der Mitgliedstaaten fest, weitere Beschränkungen oder Bedingungen sowohl beizubehalten als auch gegebenenfalls neu einzuführen und zu erlassen. Zu beachten ist hierbei, dass die Regelung keineswegs die Ermächtigung der Mitgliedstaaten enthält weitere Ausnahmetatbestände i.S.d. Art. 9 Abs. 2 für die Verarbeitung von biometrischen, genetischen oder Gesundheitsdaten festzulegen. Vielmehr zielt die Regelung des Art. 9 Abs. 4 darauf ab, dass die bereits in Art. 9 enthaltenen Voraussetzungen zur Verarbeitung der o.g.
