Gesundheitsdaten im Fahrdienst: Was Artikel 9 DSGVO für Kranken- und Behindertentransporte bedeutet

Artikel 9 DSGVO dreht die gewohnte Prüfung um. Bei normalen Daten sucht man eine Rechtsgrundlage nach Artikel 6 und ist fertig. Bei besonderen Kategorien steht am Anfang ein Verbot nach Absatz 1. Erlaubt wird die Verarbeitung erst, wenn zusätzlich einer der in Absatz 2 abschließend aufgezählten Ausnahmetatbestände greift. Beide Ebenen müssen tragen.

Bei einem Punkt bleiben Betriebe besonders häufig hängen. Die Nützlichkeit einer Angabe begründet keine Erlaubnis. Dass die Disposition besser plant, wenn sie den Grund für einen langsamen Einstieg kennt, macht die Erfassung dieses Grundes nicht zulässig. Geprüft wird über das benötigte Handeln, nicht über die dahinterliegende Ursache.

Mit der Einordnung als besondere Kategorie kommen drei Pflichten, die kleinere Betriebe für sich oft ausgeschlossen glauben.

• Das Verzeichnis von Verarbeitungstätigkeiten wird zur Pflicht. Die Erleichterung für Betriebe unter 250 Beschäftigten nach Artikel 30 Abs. 5 DSGVO entfällt, sobald besondere Kategorien verarbeitet werden.
• Eine Datenschutz-Folgenabschätzung nach Artikel 35 Abs. 3 lit. b DSGVO kommt bei umfangreicher Verarbeitung in Betracht. Bei mehreren hundert Fahrgästen ist das eine ernsthaft zu prüfende Frage.
• Die technischen und organisatorischen Schutzmaßnahmen nach Artikel 32 DSGVO konkretisiert § 22 Abs. 2 BDSG für sensible Daten, unter anderem durch Zugriffsbeschränkungen, Verschlüsselung, Pseudonymisierung und Schulung.

Artikel 4 Nr. 15 DSGVO definiert Gesundheitsdaten als personenbezogene Daten, aus denen Informationen über den Gesundheitszustand einer Person hervorgehen. Erwägungsgrund 35 legt das weit aus und nennt Behinderungen, Krankheitsrisiken und medizinische Behandlung ausdrücklich. Ob ein Feld medizinisch klingt, spielt keine Rolle. Entscheidend ist, ob sich aus ihm ein Rückschluss auf die Gesundheit ziehen lässt.

Die Merkzeichen in der zweitletzten Zeile sind ein gutes Beispiel für eine Angabe, die harmlos aussieht. Nach § 3 der Schwerbehindertenausweisverordnung steht aG für außergewöhnliche Gehbehinderung, Bl für Blindheit, H für Hilflosigkeit. Zwei Buchstaben im Genehmigungsfeld transportieren damit eine medizinische Aussage.

Schwieriger als die Formularfelder sind die Stellen, an denen solche Daten nebenbei entstehen.

• Freitextfelder. „Braucht zwei Minuten, ist kreislaufschwach“ ist ein Gesundheitsdatum, auch wenn es nur schnell ins Notizfeld getippt wurde.
• Anhänge und Scans. Ein Bewilligungsbescheid enthält regelmäßig mehr Gesundheitsinformation als sämtliche Formularfelder daneben.
• Zielorte. Eine wiederkehrende Fahrt zur Dialyse verrät den Behandlungsanlass, ohne dass ihn jemand eingetragen hätte.

Die tragfähige Konstruktion hat zwei Schichten. Unten liegt eine Rechtsgrundlage nach Artikel 6 DSGVO, beim Beförderungsvertrag regelmäßig Absatz 1 lit. b, bei Fahrten im Auftrag eines Sozialleistungsträgers lit. c oder lit. e. Darüber liegt Artikel 9 Abs. 2.

Herangezogen wird dort meist Artikel 9 Abs. 2 lit. h DSGVO, der die Verarbeitung für Zwecke der Gesundheitsvorsorge und für die Versorgung im Gesundheits- oder Sozialbereich erlaubt, sofern sie auf mitgliedstaatliches Recht gestützt ist. Diese nationale Grundlage liefert § 22 Abs. 1 Nr. 1 lit. b BDSG, der ausdrücklich für öffentliche wie nichtöffentliche Stellen gilt. Dazu kommt Artikel 9 Abs. 3 DSGVO. Verarbeiten dürfen nur Personen, die einem Berufsgeheimnis oder einer entsprechenden Geheimhaltungspflicht unterliegen. Disponentinnen, Fahrer und Aushilfen müssen also schriftlich auf Vertraulichkeit verpflichtet sein, und zwar als Tatbestandsvoraussetzung. Fehlt die Verpflichtungserklärung im Personalordner, fehlt der Erlaubnis eine ihrer Voraussetzungen.

Wie die Einordnung im Einzelfall ausfällt, hängt an der Auftragskonstellation. Ob Sie eigenverantwortlich handeln oder als Auftragsverarbeiter nach Artikel 28 DSGVO für einen Kostenträger tätig werden, entscheidet über Rechtsgrundlage, Vertragswerk und Weisungslage. Bei Sozialdaten im Auftrag eines Sozialleistungsträgers kommt § 80 SGB X hinzu, der unter anderem eine vorherige Anzeige bei der Aufsichtsbehörde verlangt. Klären Sie die Rollenverteilung schriftlich und lassen Sie sie datenschutzrechtlich bestätigen. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.

Wann eine Einwilligung sinnvoll ergänzt

Artikel 9 Abs. 2 lit. a DSGVO erlaubt die Verarbeitung bei ausdrücklicher Einwilligung. Als alleiniger Anker taugt sie selten, denn nach Artikel 7 Abs. 3 DSGVO ist sie jederzeit widerrufbar, und der Widerruf dürfte eine für die Sicherheit nötige Angabe nicht entfallen lassen. Ihren Platz hat sie dort, wo die Verarbeitung über das Erforderliche hinausgeht. Ein zusätzlicher Informationsweg an eine Tochter, die täglich wissen möchte, ob ihr Vater angekommen ist, ist genau so ein Fall.

Die Datenminimierung nach Artikel 5 Abs. 1 lit. c DSGVO wirkt hier am stärksten, weil jedes zusätzliche Feld das Risiko erhöht. Die Leitfrage im Formularentwurf lautet, was der Fahrer tun muss und welche Ausstattung das Fahrzeug dafür braucht. Eine Diagnose beantwortet das nicht. Sie beschreibt eine Ursache, aus der jeder Fahrer selbst ableiten müsste, was zu tun ist. Die sensibelste Information kursiert, die Handlungsanweisung fehlt trotzdem.

Vier Umbauten am Formular erledigen den größten Teil der Arbeit.

• Aus dem Freitextfeld „Erkrankung, Diagnose“ wird eine Auswahlliste „Erforderliche Unterstützung beim Ein- und Aussteigen“.
• Aus „Art der Behinderung“ werden Angaben zu Rückhaltesystem, Hilfsmittel und Platzbedarf.
• Aus der Medikamentenübersicht wird ein Notfallhinweis, der sagt, was zu tun und wer zu informieren ist.
• Aus „Krankheitsgeschichte, Vorerkrankungen“ wird das Feld „Begleitperson erforderlich: ja, nein, situationsabhängig“.

Wer Freitextfelder anbietet, bekommt Freitext. Auswahllisten mit wenigen Betreuungs- und Ausstattungsmerkmalen halten die Datenmenge klein und lassen sich, anders als Fließtext, rollenbezogen ausblenden. Ein Freitextfeld sollte es weiterhin geben. Die Beschriftung muss dann aber deutlich machen, dass dort Handlungshinweise stehen und keine Krankengeschichten.

§ 22 Abs. 2 BDSG nennt Zugriffsbeschränkungen ausdrücklich als angemessene und spezifische Maßnahme bei besonderen Kategorien. Empfehlungscharakter hat diese Vorgabe nicht. Praktisch bedeutet sie, dass jede Rolle im Betrieb nur einen Ausschnitt der Fahrgastakte zu sehen bekommt.

Die Disposition arbeitet mit Betreuungs- und Kapazitätsmerkmalen, Zeitfenstern und der Barrierefreiheit der Adresse. Notfallmedikation im Detail, Diagnosen und Bescheide im Volltext braucht sie dafür nicht. Die Abrechnung kommt mit Genehmigungsstatus, Fahrtnachweisen, Kilometern und Zeiten aus. Leitung und Datenschutzbeauftragte greifen im begründeten Einzelfall zu, protokolliert, statt dauerhaft alle Freitexte offen zu haben.

Der zugewiesene Fahrer ist der wichtigste und der am häufigsten falsch gelöste Fall. Er braucht die Handlungshinweise für seine Tour, den Notfallkontakt und die Übergabemodalitäten, und er braucht sie am Fahrtag. Eine vollständige Akte braucht er nicht, Angaben zu Fahrgästen anderer Touren erst recht nicht. An dieser Begrenzung scheitern ausgedruckte Tourenlisten und Messenger-Gruppen systematisch, denn sie kennen keine Rollen, nur Empfänger. Einmal verteilt bleibt eine Liste verteilt.

Genau an dieser Stelle hilft eine Dispositionssoftware, die Sichtbarkeit an Rolle und Tourzuweisung koppelt, Zugriffe protokolliert und den Kanal für Angehörige vom operativen System trennt. Disposition und Fahrer-App sind bei Vermo entlang dieser Rollenlogik geschnitten, ebenso der Zugang für Eltern und Betreuungskräfte.

• Für jede Rolle ist schriftlich festgelegt, welches Feld sie sieht und wofür.
• Fahrer sehen Fahrgastdaten nur für zugewiesene Touren im relevanten Zeitraum.
• Es wird protokolliert, wer eine Fahrgastakte geöffnet hat.
• Alle Beschäftigten sind schriftlich auf Vertraulichkeit verpflichtet und geschult.
• Zugänge werden beim Ausscheiden unverzüglich entzogen, auch bei Aushilfen.

Weitergabe an Kostenträger, Angehörige und Dienstleister

Jede Weitergabe ist eine eigene Verarbeitung und braucht eine eigene Begründung. Dass jemand zum Umfeld des Fahrgastes gehört, ersetzt sie nicht. Gegenüber Kostenträgern ist zulässig, was zur Abrechnung und zum Leistungsnachweis erforderlich ist, also Genehmigungsstatus, Fahrtdaten und die vereinbarten Nachweise. Der Notfallhinweis gehört nicht dazu. Welche Angaben eine Genehmigung überhaupt trägt, beschreibt der Beitrag zu Genehmigung und Pflegegrad bei Krankenfahrten.

Bei Angehörigen und Betreuern ist das Telefon die häufigste Schwachstelle. Wer anruft und plausibel klingt, bekommt vielerorts Auskunft. Rechtlich zählt aber nicht die Beziehung, sondern die Befugnis, also elterliche Sorge, eine rechtliche Betreuung mit passendem Aufgabenkreis oder eine Vollmacht. Ein erwachsener Fahrgast entscheidet selbst, was seine Kinder erfahren, nicht umgekehrt.

1. Identität klären. Der Rückruf über eine hinterlegte Nummer schützt am einfachsten vor Auskünften an Unbefugte.
2. Befugnis prüfen. Liegt eine dokumentierte Vertretungsbefugnis vor, oder wird eine Beziehung unterstellt?
3. Umfang begrenzen. Eine Abholzeit ist keine Auskunft über den Gesundheitszustand.
4. Weitergabe notieren. Ohne Dokumentation lässt sich die Rechenschaftspflicht aus Artikel 5 Abs. 2 DSGVO nicht erfüllen.

Zur Weitergabe zählt auch der Einsatz externer Dienstleister. Wer Software, Hosting oder Telematik nutzt, muss die Rollen zwischen Verantwortlichem und Auftragsverarbeiter klären und einen Vertrag nach Artikel 28 Abs. 3 DSGVO schließen. Bei Ortungssystemen stellt sich dieselbe Frage noch einmal für die Beschäftigten, dazu der Beitrag zu GPS-Tracking und Betriebsrat.

Eine einzige Frist für alle Fahrgastdaten funktioniert nicht, weil in der Akte zwei Datenarten nebeneinanderliegen. Abrechnungs- und Nachweisunterlagen unterliegen handels- und steuerrechtlichen Aufbewahrungspflichten, sensible Freitexte dagegen nur der Zweckbindung. Wer beides pauschal behandelt, speichert zu lange oder löscht, was er im Streitfall nachweisen müsste.

1. Datenarten trennen. Legen Sie fest, welche Felder Nachweisfunktion haben und welche nur der sicheren Durchführung dienen.
2. Aufbewahrungspflichten zuordnen. Nach § 147 Abs. 3 AO sind Bücher und Aufzeichnungen zehn Jahre, Buchungsbelege acht Jahre und die sonstigen Unterlagen sechs Jahre aufzubewahren; § 257 Abs. 4 HGB enthält die parallelen handelsrechtlichen Fristen. Beide betreffen die Abrechnungsunterlage, nicht den Freitext daneben.
3. Zweck der sensiblen Felder definieren. Ein Notfallhinweis dient der sicheren Durchführung. Endet die Beförderung dauerhaft, entfällt dieser Zweck, und jede weitere Speicherung braucht eine eigene Begründung.
4. Löschung verankern und protokollieren. Halten Sie fest, wer wann welche Datenart löscht oder anonymisiert, und dokumentieren Sie den Vollzug. Eine Regel, die niemand ausführt, hilft in einer Prüfung nicht.