Ihr Genom gehört zu den persönlichsten Daten, die Sie besitzen. Es ist unveränderlich, ermöglicht eine eindeutige Identifizierung und ist untrennbar mit Ihrer Familie verbunden – es gibt nicht nur Aufschluss über Sie, sondern auch über Ihre biologischen Verwandten. Anders als ein Passwort oder sogar ein Fingerabdruck können genomische Daten nicht geändert werden, wenn sie in falsche Hände geraten. Daher ist der Rechtsrahmen für die Erhebung, Verarbeitung und den Schutz dieser Daten wichtiger als bei jeder anderen Kategorie personenbezogener Daten.
Was genetische Daten so besonders macht
Aus datenschutzrechtlicher Sicht weisen genetische Daten mehrere Eigenschaften auf, die sie von anderen Arten personenbezogener Daten unterscheiden:
- Dauerhaftigkeit: Ihr Genom verändert sich nicht. Eine Datenschutzverletzung, die Genomdaten betrifft, führt zu einer dauerhaften Offenlegung – anders als ein Passwort lassen sich diese Daten nicht zurücksetzen.
- Identifizierbarkeit: Genomdaten ermöglichen grundsätzlich die Identifizierung einer Person. Selbst unvollständige Genomdaten können zur erneuten Identifizierung von Personen verwendet werden, wie mehrere Fälle aus der forensischen Genealogie gezeigt haben.
- Vererbbarkeit: Ihre genetischen Daten geben Aufschluss über Ihre biologischen Eltern, Geschwister und Kinder. Eine Datenschutzverletzung betrifft nicht nur die einzelne Person, sondern die gesamte biologische Familie.
- Vorhersagekraft: Genetische Daten können Rückschlüsse auf künftige Erkrankungen ermöglichen und bei unbefugtem Zugriff zu Diskriminierung im Versicherungswesen, am Arbeitsplatz und in anderen Bereichen führen.
Diese Eigenschaften bedeuten, dass genetische Daten den höchstmöglichen rechtlichen Schutz benötigen – nicht nur durch Unternehmensrichtlinien, sondern durch durchsetzbare Gesetze mit spürbaren Konsequenzen bei Verstößen.
Wie die DSGVO genetische Daten einstuft
Die Datenschutz-Grundverordnung (DSGVO), die im Mai 2018 in Kraft trat, stuft genetische Daten gemäß Artikel 9 als „besondere Kategorien personenbezogener Daten“ ein. Dies ist die am stärksten geschützte Einstufung im EU-Recht und umfasst auch Gesundheitsdaten, Daten zur rassischen oder ethnischen Herkunft, biometrische Daten und Daten zur sexuellen Orientierung.
Die Verarbeitung besonderer Kategorien personenbezogener Daten ist grundsätzlich untersagt. Sie ist nur auf Grundlage einer begrenzten Zahl gesetzlicher Ausnahmen zulässig — für die Genomik ist dabei vor allem die ausdrückliche Einwilligung (Artikel 9 Absatz 2 Buchstabe a) relevant. Hier gelten strengere Anforderungen als bei den Rechtsgrundlagen des „berechtigten Interesses“ oder der „Erforderlichkeit zur Vertragserfüllung“, die auf gewöhnliche personenbezogene Daten Anwendung finden.
In der Praxis bedeutet dies:
- Ein Genomikunternehmen darf Ihre genetischen Daten nicht auf Grundlage eines bereits angekreuzten Kontrollkästchens oder einer versteckten Klausel in den Nutzungsbedingungen verarbeiten. Die Einwilligung muss freiwillig, für den konkreten Fall, in Kenntnis der Sachlage und unmissverständlich erteilt werden.
- Die Einwilligung kann jederzeit widerrufen werden (Artikel 7 Absatz 3). Der Verantwortliche muss die Verarbeitung daraufhin einstellen und die Daten auf Verlangen löschen.
- Daten dürfen nur für die konkreten Zwecke verwendet werden, denen zugestimmt wurde. Für jeden neuen Zweck ist eine erneute Einwilligung erforderlich.
Ihre Rechte gemäß DSGVO in Bezug auf Ihr Genom
Gemäß der DSGVO haben Einzelpersonen umfassende Rechte in Bezug auf ihre personenbezogenen Daten. Für genetische Daten sind insbesondere folgende Rechte relevant:
- Auskunftsrecht (Art. 15): Sie können eine vollständige Kopie aller über Sie gespeicherten genetischen Daten sowie Informationen darüber anfordern, wie diese verarbeitet werden und an wen sie weitergegeben wurden.
- Recht auf Löschung (Art. 17): Sie können die dauerhafte Löschung Ihrer genetischen Daten verlangen. Der Verantwortliche muss dieser Aufforderung innerhalb von 30 Tagen nachkommen.
- Recht auf Datenübertragbarkeit (Art. 20): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format anfordern und an einen anderen Anbieter übertragen.
- Recht auf Einschränkung der Verarbeitung (Art. 18): Sie können verlangen, dass die Verarbeitung ausgesetzt wird, bis eine Streitigkeit oder ein Widerspruch geklärt ist.
- Widerspruchsrecht (Art. 21): Sie können bestimmten Arten der Verarbeitung, einschließlich Profiling, widersprechen.
Dabei handelt es sich nicht um freiwillige Gefälligkeiten. Es sind gesetzlich durchsetzbare Rechte, die von Aufsichtsbehörden gestützt werden, welche Geldbußen von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen € verhängen können.
DSGVO vs. Schutz genetischer Daten in den USA
In den Vereinigten Staaten gibt es auf Bundesebene kein Pendant zur DSGVO für genetische Daten. Die bestehende Rechtslage ist uneinheitlich:
- GINA (2008): Verhindert genetische Diskriminierung durch Krankenversicherer und Arbeitgeber, gilt jedoch nicht für Lebensversicherungen, Pflegeversicherungen oder Berufsunfähigkeitsversicherungen. Das Gesetz enthält keine Bestimmungen zur Datenverarbeitung, Datenspeicherung oder zu Pflichten bei Datenschutzverletzungen.
- HIPAA: Gilt nur für erfasste Einrichtungen (Gesundheitsdienstleister, Versicherer) und deren Geschäftspartner. Unternehmen im Bereich der Verbrauchergenomik, die direkt an Verbraucher verkaufen, gelten in der Regel nicht als erfasste Einrichtungen.
- Gesetze der Bundesstaaten: Ein Flickenteppich. Illinois, Kalifornien und einige weitere Bundesstaaten haben Gesetze zum Schutz genetischer Daten erlassen, doch in den meisten Bundesstaaten gibt es kein spezielles Gesetz zum Schutz solcher Daten.
Das bedeutet, dass die Datenschutzrichtlinie eines US-amerikanischen Genomikunternehmens in den meisten Fällen eine freiwillige Selbstverpflichtung und keine gesetzliche Verpflichtung darstellt. Wenn das Unternehmen den Eigentümer wechselt, Insolvenz anmeldet oder einfach beschließt, seine Bedingungen zu aktualisieren, kann sich die Richtlinie ändern. Es gibt keine Bundesaufsichtsbehörde, die ausdrücklich mit der Durchsetzung des Schutzes genetischer Daten betraut ist.
Warum die Rechtsordnung zählt – und nicht nur die Datenschutzrichtlinie
Die entscheidende Erkenntnis ist, dass der Schutz durch die DSGVO an den Rechtsraum gebunden ist. Er gilt für Daten, die innerhalb der EU verarbeitet werden – unabhängig von der Staatsangehörigkeit der betroffenen Person oder davon, in welchem Land das Unternehmen, das die Daten erhoben hat, seinen Sitz hat. Wenn Ihr Genom in einem Labor mit Sitz in der EU sequenziert und analysiert wird, unterliegt der gesamte Lebenszyklus der Daten der DSGVO – vom Eingang der Probe bis zur Löschung der Daten.
Das bedeutet: Selbst wenn Sie in den USA ansässig sind, unterliegen Ihre in der EU verarbeiteten genetischen Daten dem Schutz der DSGVO. Dies ist keine Funktion, für die Sie sich aktiv entscheiden müssen, sondern ergibt sich automatisch aus dem Ort der Verarbeitung.
Das Partnerlabor von Dante Labs befindet sich in Italien – einem Mitgliedstaat der EU. Jedes von Dante sequenzierte Genom wird im Geltungsbereich der DSGVO verarbeitet. Ihre Daten dürfen weder verkauft noch an Dritte weitergegeben oder für einen Zweck verwendet werden, dem Sie nicht ausdrücklich zugestimmt haben – und dies ist durch EU-Recht abgesichert, nicht nur durch ein Versprechen eines Unternehmens.
Was das in der Praxis bedeutet
Wenn Sie einen Test zur Sequenzierung des gesamten Genoms in Betracht ziehen, sollte Ihnen der Schutz Ihrer Daten ebenso wichtig sein wie die Genauigkeit des Tests. Die dabei erzeugten Daten gehören zu den persönlichsten Informationen überhaupt — und der dafür geltende Rechtsrahmen bestimmt, was mit diesen Daten geschehen darf und was nicht, und zwar nicht nur heute, sondern für den Rest Ihres Lebens.
Die DSGVO ist keine Zertifizierung, die man erwirbt und vorweisen kann. Sie ist das geltende Recht an dem Ort, an dem Ihre Daten verarbeitet werden. Und für genetische Daten — die dauerhaft, identifizierend, familiär und prädiktiv sind — bietet sie den weltweit stärksten verfügbaren Schutzrahmen.
Lesen Sie unsere vollständige Seite zu Datenschutz und Data Governance →