EuGH: Bei der Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 I DSGVO muss zugleich auch eine Rechtsgrundlage nach Art. 6 I DSGVO vorliegen

So das Gericht in seiner Entscheidung vom 21. Dezember 2023 (Az.: C‑667/21) in einem Vorabentscheidungsersuchen des Bundesarbeitsgerichts. Dort besteht ein Rechtsstreit eines Betroffenen mit dem Medizinischen Dienst einer Krankenversicherung. Das Gericht führt in den Entscheidungsgründen unter anderem aus:

„…Art. 6 Abs. 1 Unterabs. 1 DSGVO sieht eine erschöpfende und abschließende Liste der Fälle vor, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 90 und die dort angeführte Rechtsprechung).

Daher hat der Gerichtshof wiederholt entschieden, dass jede Verarbeitung personenbezogener Daten mit den in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und die in Art. 6 dieser Verordnung aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen muss (Urteil vom 4. Mai 2023, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], C‑60/22, EU:C:2023:373, Rn. 57 und die dort angeführte Rechtsprechung).

Überdies wurde bereits entschieden, dass, da die Art. 7 bis 11 DSGVO, die genau wie die Art. 5 und 6 dieser Verordnung in deren Kapitel II stehen, zum Ziel haben, den Umfang der dem Verantwortlichen nach Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung obliegenden Pflichten näher zu bestimmen, die Verarbeitung personenbezogener Daten, wie sich aus der Rechtsprechung des Gerichtshofs ergibt, zudem nur dann rechtmäßig ist, wenn sie diese anderen Bestimmungen des genannten Kapitels einhält, die im Wesentlichen die Einwilligung, die Verarbeitung besonderer Kategorien sensibler personenbezogener Daten und die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten betreffen (Urteil vom 4. Mai 2023, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], C‑60/22, EU:C:2023:373, Rn. 58 und die dort angeführte Rechtsprechung).

Daraus folgt insbesondere, dass, da Art. 9 Abs. 2 Buchst. h DSGVO zum Zweck hat, den Umfang der Pflichten zu präzisieren, die dem Verantwortlichen nach Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung obliegen, eine auf Art. 9 Abs. 2 Buchst. h DSGVO gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie sowohl die sich aus dieser Bestimmung ergebenden Anforderungen als auch die sich aus Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung ergebenden Pflichten einhält und insbesondere eine der in Art. 6 Abs. 1 DSGVO genannten Rechtmäßigkeitsvoraussetzungen erfüllt.

Nach alledem ist auf die dritte Frage zu antworten, dass Art. 9 Abs. 2 Buchst. h und Art. 6 Abs. 1 DSGVO dahin auszulegen sind, dass eine auf die erstgenannte Bestimmung gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie nicht nur die sich aus dieser Bestimmung ergebenden Anforderungen einhält, sondern auch mindestens eine der in Art. 6 Abs. 1 genannten Rechtmäßigkeitsvoraussetzungen erfüllt…“