Ihr Genom unter der DSGVO: Warum der EU-Datenschutz der Goldstandard für genetische Informationen ist

Ihr Genom ist die persönlichste Information, über die Sie verfügen. Es ist unveränderlich, eindeutig identifizierend und von Natur aus familiär – es gibt nicht nur Aufschluss über Sie selbst, sondern auch über Ihre biologischen Verwandten. Im Gegensatz zu einem Passwort oder sogar einem Fingerabdruck können Genomdaten nicht geändert werden, wenn sie in die falschen Hände geraten. Der rechtliche Rahmen, der regelt, wie diese Daten erhoben, verarbeitet und geschützt werden, ist wichtiger als bei jeder anderen Kategorie personenbezogener Daten.

Was genetische Daten von anderen Daten unterscheidet

Aus datenschutzrechtlicher Sicht weisen genetische Daten mehrere Eigenschaften auf, die sie von anderen Arten personenbezogener Daten unterscheiden:

• Dauerhaftigkeit: Ihr Genom verändert sich nicht. Ein Datenleck, bei dem Genomdaten betroffen sind, führt zu einer dauerhaften Gefährdung – es gibt keine Möglichkeit, dies wie bei einem Passwort durch Zurücksetzen zu beheben.
• Identifizierbarkeit: Genomdaten sind von Natur aus identifizierend. Selbst unvollständige Genomdaten können zur erneuten Identifizierung von Personen verwendet werden, wie zahlreiche Fälle aus der forensischen Genealogie zeigen.
• Vererblichkeit: Ihre genetischen Daten enthalten Informationen über Ihre leiblichen Eltern, Geschwister und Kinder. Ein Datenleck betrifft nicht nur die betroffene Person – es betrifft die gesamte leibliche Familie.
• Vorhersagekraft: Genetische Daten können zukünftige Gesundheitszustände vorhersagen, was bei unsachgemäßer Nutzung zu Diskriminierung in den Bereichen Versicherungen, Beschäftigung und anderen Bereichen führen kann.

Aufgrund dieser Eigenschaften benötigen genetische Daten den höchstmöglichen rechtlichen Schutz – nicht nur unternehmensinterne Richtlinien, sondern durchsetzbare Gesetze mit konkreten Konsequenzen bei Verstößen.

Wie die DSGVO genetische Daten einstuft

Die Datenschutz-Grundverordnung (DSGVO), die im Mai 2018 in Kraft trat, stuft genetische Daten gemäß Artikel 9 als „Daten besonderer Kategorien“ ein. Dies ist die strengste Schutzkategorie im EU-Recht, neben Daten über Gesundheit, rassische oder ethnische Herkunft, biometrische Daten und sexuelle Orientierung.

Die Verarbeitung von Daten besonderer Kategorien ist grundsätzlich untersagt. Sie ist nur auf der Grundlage einer begrenzten Anzahl rechtlicher Grundlagen zulässig – wobei für die Genomik die ausdrückliche Einwilligung (Artikel 9 Absatz 2 Buchstabe a) am relevantesten ist. Dies ist ein höherer Standard als die Grundlagen „berechtigtes Interesse“ oder „vertragliche Notwendigkeit“, die für gewöhnliche personenbezogene Daten gelten.

In der Praxis bedeutet das:

• Ein Genomikunternehmen darf Ihre genetischen Daten nicht auf der Grundlage eines vorab angekreuzten Kontrollkästchens oder einer versteckten Klausel in den Nutzungsbedingungen verarbeiten. Die Einwilligung muss freiwillig, konkret, in voller Kenntnis der Sachlage und eindeutig erteilt werden.
• Die Einwilligung kann jederzeit widerrufen werden (Artikel 7 Absatz 3), woraufhin der für die Verarbeitung Verantwortliche die Verarbeitung einstellen und die Daten auf Verlangen löschen muss.
• Daten dürfen nur für die Zwecke verwendet werden, denen zugestimmt wurde. Für jeden neuen Zweck ist eine erneute Einwilligung erforderlich.

Die Rechte, die Ihnen die DSGVO in Bezug auf Ihr Genom gewährt

Gemäß der DSGVO verfügen natürliche Personen über umfassende Rechte in Bezug auf ihre personenbezogenen Daten. Bei genetischen Daten sind folgende Rechte am relevantesten:

• Auskunftsrecht (Art. 15): Sie können eine vollständige Kopie aller über Sie gespeicherten genetischen Daten sowie Informationen darüber anfordern, wie diese verarbeitet werden und an wen sie weitergegeben wurden.
• Recht auf Löschung (Art. 17): Sie können die dauerhafte Löschung Ihrer genetischen Daten verlangen. Der für die Verarbeitung Verantwortliche muss diesem Wunsch innerhalb von 30 Tagen nachkommen.
• Recht auf Datenübertragbarkeit (Art. 20): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format anfordern und an einen anderen Anbieter übertragen.
• Recht auf Einschränkung der Verarbeitung (Art. 18): Sie können verlangen, dass die Verarbeitung ausgesetzt wird, bis eine Streitigkeit oder ein Widerspruch geklärt ist.
• Widerspruchsrecht (Art. 21): Sie können bestimmten Arten der Verarbeitung widersprechen, einschließlich der Profilerstellung.

Dies sind keine freiwilligen Gefälligkeiten. Es handelt sich um gesetzlich einklagbare Rechte, die von Aufsichtsbehörden durchgesetzt werden, die befugt sind, Geldbußen in Höhe von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro zu verhängen.

DSGVO vs. Datenschutz für genetische Daten in den USA

In den Vereinigten Staaten gibt es auf Bundesebene kein Pendant zur DSGVO für genetische Daten. Die bestehende Rechtslage ist uneinheitlich:

• GINA (2008): Verhindert genetische Diskriminierung durch Krankenversicherer und Arbeitgeber, gilt jedoch nicht für Lebensversicherungen, Pflegeversicherungen oder Berufsunfähigkeitsversicherungen. Es enthält keine Bestimmungen zur Datenverarbeitung, -speicherung oder zu Verpflichtungen bei Datenschutzverletzungen.
• HIPAA: Gilt nur für betroffene Einrichtungen (Gesundheitsdienstleister, Versicherer) und deren Geschäftspartner. Unternehmen im Bereich der Verbrauchergenomik, die direkt an Verbraucher verkaufen, gelten in der Regel nicht als betroffene Einrichtungen.
• Gesetzgebung der Bundesstaaten: Ein Flickenteppich. Illinois, Kalifornien und einige andere Bundesstaaten haben Gesetze zum Schutz der genetischen Privatsphäre erlassen, doch in den meisten Bundesstaaten gibt es keine spezifischen Vorschriften zum Schutz genetischer Daten.

Das hat zur Folge, dass die Datenschutzrichtlinie eines in den USA ansässigen Genomikunternehmens in den meisten Fällen eine freiwillige Verpflichtung darstellt – und keine gesetzliche Verpflichtung. Wenn das Unternehmen den Eigentümer wechselt, in Konkurs geht oder einfach beschließt, seine Geschäftsbedingungen zu aktualisieren, kann sich die Richtlinie ändern. Es gibt keine Bundesaufsichtsbehörde, die speziell mit der Durchsetzung des Schutzes genetischer Daten betraut ist.

Warum die Zuständigkeit – und nicht nur die Politik – eine Rolle spielt

Der entscheidende Punkt ist, dass die Schutzbestimmungen der DSGVO territorial gelten. Sie gelten für Daten, die innerhalb der EU verarbeitet werden, unabhängig von der Staatsangehörigkeit der betroffenen Person oder dem Sitzland des Unternehmens, das die Daten erhoben hat. Wenn Ihr Genom in einem Labor mit Sitz in der EU sequenziert und analysiert wird, regelt die DSGVO den gesamten Datenlebenszyklus – vom Eingang der Probe bis zur Löschung der Daten.

Das bedeutet, dass Ihre in der EU verarbeiteten genetischen Daten auch dann unter den Schutz der DSGVO fallen, wenn Sie in den USA ansässig sind. Dies ist keine Option, die Sie aktiv wählen müssen. Es ist eine automatische Folge des Ortes, an dem die Verarbeitung stattfindet.

Das Partnerlabor von Dante Labs befindet sich in Italien – einem EU-Mitgliedstaat. Jedes von Dante sequenzierte Genom wird unter der Geltung der DSGVO verarbeitet. Ihre Daten dürfen weder verkauft noch an Dritte weitergegeben oder für Zwecke verwendet werden, denen Sie nicht ausdrücklich zugestimmt haben – und dies wird durch EU-Recht garantiert, nicht durch ein Unternehmensversprechen.

Was das in der Praxis bedeutet

Für jemanden, der einen Test zur Gesamtgenomsequenzierung in Erwägung zieht, sollte die Frage des Datenschutzes ebenso wichtig sein wie die Frage nach der Genauigkeit des Tests. Die Daten, die Sie dabei generieren, sind die persönlichsten Informationen, die es gibt – und der rechtliche Rahmen, der sie regelt, bestimmt, was mit diesen Daten geschehen darf und was nicht, nicht nur heute, sondern für den Rest Ihres Lebens.

Die DSGVO ist keine Zertifizierung, die man erwerben und vorweisen kann. Sie ist das geltende Recht des Landes, in dem Ihre Daten verarbeitet werden. Und für genetische Daten – die dauerhaft, identifizierend, familiär und prädiktiv sind – stellt sie das weltweit strengste Schutzsystem dar.

Lesen Sie unsere vollständige Seite zu Datenschutz und Datenverwaltung →