Gesundheitsdaten im Fahrdienst: Art. 9 DSGVO

Ein Fahrdienst verarbeitet mehr sensible Daten, als den meisten Betrieben bewusst ist. Schon die simple Information „Herr M. fährt dienstags zur Dialyse" verrät eine Diagnose. Ein Fahrtziel wie „Onkologisches Zentrum" ebenso. Und die Verordnung Muster 4 enthält medizinische Angaben im Klartext. All das fällt unter Artikel 9 der DSGVO — die besonderen Kategorien personenbezogener Daten. Für diese Daten gelten strengere Regeln als für Name und Adresse. Wer sie nicht kennt, riskiert Bußgelder: Art. 83 Abs. 5 DSGVO sieht für Verstöße gegen Art. 9 bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes vor, je nachdem, was höher ist.

Warum Fahrdaten Gesundheitsdaten sind

Artikel 9 Absatz 1 DSGVO verbietet die Verarbeitung von „Daten zur Gesundheit" zunächst grundsätzlich — und erlaubt sie nur unter bestimmten Ausnahmen. Der Knackpunkt für Fahrdienste: Gesundheitsdaten sind nicht nur die Diagnose selbst, sondern jede Information, aus der sich ein Rückschluss auf den Gesundheitszustand ziehen lässt.

• Die regelmäßige Fahrt zur Dialyse verrät eine Niereninsuffizienz.
• Das Ziel „Psychiatrische Tagesklinik" verrät eine psychische Erkrankung.
• Der Vermerk „mit Rollstuhl" oder „liegend" verrät eine Mobilitätseinschränkung.

Es reicht also nicht, die Diagnose wegzulassen. Der Kontext selbst ist bereits schützenswert.

Auf welcher Rechtsgrundlage Sie überhaupt verarbeiten dürfen

Für Fahrdienste kommen in der Praxis vor allem zwei Ausnahmen aus Artikel 9 Absatz 2 in Betracht:

1. Buchstabe h — Verarbeitung für die Versorgung im Gesundheitsbereich. Da die Krankenbeförderung Teil der medizinischen Versorgung ist, greift diese Ausnahme für die Durchführung der Fahrt.
2. Buchstabe a — ausdrückliche Einwilligung der betroffenen Person. Sie ist dort nötig, wo die Verarbeitung über die reine Durchführung hinausgeht.

Wichtig: Die Rechtsgrundlage muss dokumentiert sein. Im Zweifel fragt die Aufsichtsbehörde nicht, ob Sie sorgfältig gearbeitet haben — sondern ob Sie es belegen können.

Der Elefant im Raum: WhatsApp und private Chatgruppen

Viele Betriebe koordinieren Fahrten über WhatsApp-Gruppen. Das ist bequem, aber datenschutzrechtlich hochproblematisch. Gleich mehrere Punkte sind kritisch:

• Drittlandübermittlung: Die Betreiberdaten liegen teils außerhalb der EU. Für die USA gibt es seit 2023 den Angemessenheitsbeschluss zum EU-US Data Privacy Framework; ob ein Anbieter daran teilnimmt und ob Gesundheitsdaten auf diesem Weg übermittelt werden dürfen, müssen Sie prüfen und dokumentieren.
• Kein Auftragsverarbeitungsvertrag: Mit einem privaten Messenger schließen Sie keinen AV-Vertrag nach Artikel 28 DSGVO ab.
• Keine Zugriffskontrolle: Jeder in der Gruppe sieht jede Nachricht — auch der Fahrer, der die betreffende Fahrt gar nicht durchführt.
• Keine Löschkonzepte: Nachrichten bleiben auf den Geräten aller Teilnehmer, praktisch unbegrenzt.

Das ist kein theoretisches Risiko: Der obere Bußgeldrahmen gilt für genau diese Verstöße (Art. 83 Abs. 5 lit. a DSGVO).

Was stattdessen gilt: vier Maßnahmen

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und bei Gesundheitsdaten ist das Risiko hoch. Wer Fahrdaten nach Art. 9 verarbeiten will, braucht in der Praxis vier Dinge:

1. Zugriff nach dem Need-to-know-Prinzip

Ein Fahrer sieht seine eigenen Fahrten, und nur diese. Der Disponent sieht die Gesamtlage, aber nicht mehr Details als nötig. Rollenbasierte Zugriffskontrolle ist eine der naheliegenden Maßnahmen nach Art. 32; die Aufsicht fragt nach dem Risiko, nicht nach dem Wort.

2. Verschlüsselung in Übertragung und Speicherung

Verschlüsselung ist die Maßnahme, die Art. 32 Abs. 1 ausdrücklich nennt: auf dem Transportweg (TLS) und im Ruhezustand (Verschlüsselung der Datenbank). Ein unverschlüsselter Excel-Anhang per E-Mail erfüllt das nicht.

3. Auftragsverarbeitungsvertrag mit jedem Dienstleister

Sobald ein externer Anbieter — etwa eine Software — Gesundheitsdaten in Ihrem Auftrag verarbeitet, brauchen Sie einen AV-Vertrag nach Artikel 28. Seriöse Anbieter schließen ihn mit dem Kunden in Textform, bevor sie personenbezogene Daten in seinem Auftrag verarbeiten; bei MitaBase wird er gerade mit einem Anwalt fertiggestellt.

4. Löschkonzept und Protokollierung

Sie müssen festlegen, wann welche Daten gelöscht werden, und im Prüfungsfall nachweisen können, wer wann Zugriff hatte.

Der pragmatische Weg

Datenschutz im Fahrdienst ist kein Hexenwerk, aber er verträgt keine Bastellösungen aus Chatgruppen und Excel-Tabellen. Ein System, das Zugriffsrechte, Verschlüsselung und Protokollierung von Haus aus mitbringt, nimmt Ihnen einen großen Teil der Arbeit ab. Das ist der Ansatz von MitaBase: Datenschutz nicht als nachträglicher Aufwand, sondern als Voreinstellung. Was wir haben und was nicht, steht auf der Sicherheitsseite, der AV-Vertrag eingeschlossen, der gerade mit einem Anwalt fertiggestellt wird.

Der beste erste Schritt ist ein ehrlicher Blick auf die eigenen Abläufe: Wo verlassen Gesundheitsdaten heute das Haus, ohne dass jemand die Kontrolle darüber hat? Jede WhatsApp-Gruppe, jeder E-Mail-Anhang, jeder Zettel im Handschuhfach ist ein Kandidat. Wer diese Wege schließt, hat den größten Teil des Risikos bereits beseitigt.

Weiterlesen: Sicherheit und Datenschutz bei MitaBase und DSGVO Art. 9 in einem Satz.