Startseite › Ratgeber Labordaten › Datenschutz und Rollen

Datenschutz und Rollen zwischen Labor und Hersteller: Wer bei Gen- und Blutdaten wofür verantwortlich ist

Fachlich geprüft von Dr. Daniel Wallerstorfer, Molekularbiologe und Gründer von Novogenia · Stand: 13. Oktober 2026 · Lesezeit: 11 Min.

Wer führt Regie? Warum Rollen beim Datenaustausch zählen

Ein Labor misst. Ein Hersteller berechnet und mischt. Dazwischen wandern Daten, die zu den persönlichsten gehören, die es über einen Menschen gibt: sein Erbgut und sein aktueller Gesundheitszustand. Sobald diese Daten das Haus wechseln, stellt das Datenschutzrecht eine einfache Frage: Wer ist wofür verantwortlich?

Denk an ein Filmset. Dort ist klar, wer Regie führt, wer die Kamera hält und wer koproduziert. Beim Datenaustausch zwischen Labor und Hersteller muss das genauso klar sein – denn an der Rolle hängen die Pflichten: Wer holt die Einwilligung ein? Wer informiert die Kundin? Wer beantwortet eine Anfrage auf Löschung?

Warum Gen- und Blutdaten besonders geschützt sind

Die Datenschutz-Grundverordnung (DSGVO) kennt zwei Begriffe, die für Labore und Datenbesitzer zentral sind:

• Genetische Daten: personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer Person, die eindeutige Informationen über ihre Physiologie oder Gesundheit liefern und insbesondere aus der Analyse einer biologischen Probe gewonnen werden (Art. 4 Nr. 13).
• Gesundheitsdaten: personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit beziehen und Informationen über den Gesundheitszustand liefern (Art. 4 Nr. 15). Erwägungsgrund 35 zählt dazu ausdrücklich Informationen, die aus der Prüfung oder Untersuchung einer körpereigenen Substanz abgeleitet wurden – also auch Blutwerte.

Beide gehören zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist untersagt (Art. 9 Abs. 1), außer eine der Ausnahmen in Art. 9 Abs. 2 greift. Für ein Folgeprodukt kommt dafür vor allem die ausdrückliche Einwilligung infrage. Zusätzlich dürfen die Mitgliedstaaten für genetische Daten und Gesundheitsdaten weitere Bedingungen einführen (Art. 9 Abs. 4). Welche nationalen Regeln in Deutschland und Österreich dazukommen, zeigt Genetische Daten und DSGVO.

Regie, Team, Koproduktion: die drei Rollen der DSGVO

Die DSGVO verteilt die Verantwortung nach drei Rollen:

• Verantwortlicher – die Regie: entscheidet allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung (Art. 4 Nr. 7).
• Auftragsverarbeiter – das Team am Set: verarbeitet Daten im Auftrag des Verantwortlichen (Art. 4 Nr. 8).
• Gemeinsam Verantwortliche – die Koproduktion: legen Zwecke und Mittel gemeinsam fest (Art. 26 Abs. 1).

Die Rolle ergibt sich aus dem, was tatsächlich passiert, nicht aus der Überschrift im Vertrag, betont der Europäische Datenschutzausschuss in seinen Leitlinien 07/2020. Ein Auftragsverarbeiter, der unter Verstoß gegen die DSGVO selbst über Zwecke und Mittel bestimmt, gilt insoweit als Verantwortlicher (Art. 28 Abs. 10).

Drei typische Konstellationen zwischen Labor und Hersteller

Für ein Folgeprodukt aus Labor- oder Gendaten kommen drei Modelle infrage. Welches passt, hängt davon ab, wer was entscheidet:

Keine dieser Konstellationen ist von vornherein richtig. Wichtig ist, dass die Rolle zu eurer tatsächlichen Zusammenarbeit passt und schriftlich feststeht, bevor Daten fließen. Bei Novogenia legen wir die Rollen für dein Projekt im Vertrag fest.

Die Rechtsgrundlage: ausdrückliche Einwilligung für einen festgelegten Zweck

Die ausdrückliche Einwilligung muss sich auf einen oder mehrere festgelegte Zwecke beziehen (Art. 9 Abs. 2 Buchst. a). Hier liegt eine typische Falle für Datenbesitzer: Wurden die Daten für eine Laboranalyse erhoben, ist das Folgeprodukt ein weiterer Zweck. Und Daten dürfen nicht in einer Weise weiterverarbeitet werden, die mit dem ursprünglichen Zweck unvereinbar ist (Art. 5 Abs. 1 Buchst. b).

Prüfe deshalb, ob deine Einwilligung das Folgeprodukt abdeckt, und hol, wo nötig, eine neue ein, bevor du Daten weitergibst. Achte dabei auf vier Punkte:

• Konkret: Nenne das Folgeprodukt, die verwendeten Daten (zum Beispiel Gene, Blutwerte, Fragebogen, Körperdaten) und den Hersteller als Empfänger. Bei Novogenia wird die Rezeptur bei jeder Produktion neu berechnet – auch das gehört in die Beschreibung.
• Klar getrennt: Steht sie in einem Dokument mit anderen Inhalten, muss sie klar davon zu unterscheiden und leicht verständlich sein (Art. 7 Abs. 2).
• Nachweisbar: Der Verantwortliche muss nachweisen können, dass die Person eingewilligt hat (Art. 7 Abs. 1).
• Widerrufbar: Die Person kann jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Einwilligung (Art. 7 Abs. 3). Legt fest, was dann mit Daten, laufendem Abo und offenen Produktionen passiert.

Eigene Marke, vollständige Information: Wer erzählt der Kundin was?

Unter deiner Marke darf das Produkt im Vordergrund stehen. In der Datenschutzinformation gibt es dagegen keine weißen Flecken. Erhebst du die Daten bei deiner Kundin, informierst du sie zum Zeitpunkt der Erhebung unter anderem über den Verantwortlichen, die Zwecke und die Rechtsgrundlage, die Empfänger oder Kategorien von Empfängern, die Speicherdauer und das Recht, die Einwilligung jederzeit zu widerrufen (Art. 13 Abs. 1 und 2).

Bekommt der Hersteller die Daten als eigener Verantwortlicher von dir und nicht von der Kundin selbst, gilt für ihn Art. 14: Er informiert sie innerhalb einer angemessenen Frist, längstens innerhalb eines Monats, spätestens aber bei der ersten Mitteilung an sie oder bei der ersten Offenlegung an einen anderen Empfänger (Art. 14 Abs. 3). Seid ihr gemeinsam verantwortlich, legt eure Vereinbarung fest, wer welche Informationspflicht erfüllt (Art. 26 Abs. 1).

Vertrag, Sicherheit, Speicherdauer: was schriftlich stehen sollte

Arbeitet der Hersteller als Auftragsverarbeiter, braucht es einen Vertrag mit Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien der Betroffenen. Darin verpflichtet sich der Auftragsverarbeiter unter anderem, nur auf dokumentierte Weisung zu verarbeiten, die Sicherheitsmaßnahmen nach Art. 32 zu treffen, dich bei Anfragen deiner Kundinnen und Kunden zu unterstützen und nach Ende der Leistung alle Daten nach deiner Wahl zu löschen oder zurückzugeben (Art. 28 Abs. 3 Buchst. a, c, e und g).

Unabhängig von der Rolle gehören drei Themen in jede Vereinbarung. Erstens die Speicherdauer: Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es der Zweck erfordert (Art. 5 Abs. 1 Buchst. e). Weil eine personalisierte Rezeptur bei jeder Produktion neu berechnet wird, braucht der Hersteller die Daten während des Abos – legt fest, was nach Abo-Ende, Widerruf oder Vertragsende passiert. Zweitens das Verzeichnis der Verarbeitungstätigkeiten: Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten gilt nicht, wenn besondere Datenkategorien verarbeitet werden (Art. 30 Abs. 5). Drittens die Datenschutz-Folgenabschätzung: Sie ist insbesondere bei umfangreicher Verarbeitung besonderer Datenkategorien erforderlich (Art. 35 Abs. 3 Buchst. b).

Schweiz: DSG und GUMG statt DSGVO

Die Schweiz hat eigene Regeln. Seit 1. September 2023 gilt das revidierte Bundesgesetz über den Datenschutz (DSG). Für genetische Untersuchungen kommt das Bundesgesetz über genetische Untersuchungen beim Menschen (GUMG) dazu; für die Bearbeitung genetischer Daten verweist es im Übrigen auf das Datenschutzrecht (Art. 10 Abs. 2 GUMG). Die Grundideen kennst du aus der DSGVO, die Mechanik ist eine andere:

• Besonders schützenswert: Daten über die Gesundheit und genetische Daten sind besonders schützenswerte Personendaten (Art. 5 Bst. c Ziff. 2 und 3 DSG).
• Andere Grundlogik: Das DSG beginnt nicht mit einem Verbot wie Art. 9 DSGVO. Personendaten müssen rechtmäßig, nach Treu und Glauben und verhältnismäßig bearbeitet werden (Art. 6). Werden aber besonders schützenswerte Personendaten Dritten bekanntgegeben, liegt eine Persönlichkeitsverletzung vor (Art. 30 Abs. 2 Bst. c). Sie ist widerrechtlich, wenn sie nicht durch Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder ein Gesetz gerechtfertigt ist (Art. 31 Abs. 1).
• Einwilligung: Ist sie erforderlich, gilt sie nur, wenn sie für bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird; für besonders schützenswerte Personendaten muss sie ausdrücklich erfolgen (Art. 6 Abs. 6 und 7 DSG).
• Rollen: Verantwortlicher ist, wer allein oder zusammen mit anderen über Zweck und Mittel entscheidet (Art. 5 Bst. j). Ein Auftragsbearbeiter darf die Daten nur so bearbeiten, wie du es selbst dürftest, und Unteraufträge nur mit deiner vorgängigen Genehmigung vergeben (Art. 9 Abs. 1 und 3). Eine Vereinbarungspflicht wie in Art. 26 DSGVO kennt das DSG für private Verantwortliche nicht.
• Information: Der Verantwortliche informiert auch dann, wenn die Daten nicht bei der betroffenen Person beschafft werden. Er nennt die Empfänger und, wenn Daten ins Ausland gehen, den Staat (Art. 19 Abs. 1, 2 und 4 DSG).

Beim GUMG zählen für Datenbesitzer vor allem drei Regeln. Informationen aus einer genetischen Untersuchung dürfen einer anderen Person nur mitgeteilt werden, wenn die betroffene Person zugestimmt hat (Art. 7 Abs. 2). Proben und genetische Daten dürfen nur zu einem anderen Zweck verwendet werden, wenn die Person nach hinreichender Aufklärung frei und ausdrücklich zugestimmt hat (Art. 12 Abs. 1) – genau das betrifft vorhandene Gendaten, die für ein Folgeprodukt genutzt werden sollen. Und bei genetischen Untersuchungen außerhalb der Medizin muss die schriftliche Aufklärung das durchführende Labor sowie Firmen und Labore im Ausland nennen, die an der Untersuchung beteiligt sind oder die genetischen Daten bearbeiten (Art. 32). Wer in der Schweiz Analysen zu Ernährung und Sport veranlassen darf, erklärt Wer darf Gentests anbieten?

Checkliste: Rollen und Datenschutz vor dem ersten Datensatz

• Die Rollen sind geklärt und passen zur tatsächlichen Zusammenarbeit.
• Der passende Vertrag liegt vor: nach Art. 28 Abs. 3, eine Vereinbarung nach Art. 26 oder eine Regelung der Datenweitergabe.
• Die Einwilligung deckt das Folgeprodukt, die verwendeten Daten und den Hersteller als Empfänger ab; sie ist nachweisbar und widerrufbar.
• Die Datenschutzinformation nennt Empfänger, Zwecke, Speicherdauer und Rechte – abgestimmt zwischen allen Beteiligten.
• Speicherdauer, Löschung und Rückgabe sind geregelt, auch für Abo-Ende und Widerruf.
• Für die Schweiz: Rechtfertigung für die Bekanntgabe, ausdrückliche Zustimmung nach GUMG, schriftliche Aufklärung mit Labor und Nennung des Staats.

Häufige Fragen

Passend dazu: Genetische Daten und DSGVO · Wer darf Gentests anbieten? · Datenintegration: Rohdaten, Schnittstellen, Formate

Hinweis: Dieser Ratgeber dient der allgemeinen Information für Unternehmen und Fachleute und ersetzt keine ärztliche oder rechtliche Beratung. Die in einer Genanalyse bestimmten genetischen Eigenschaften sind wissenschaftlich gut belegt (jedes berücksichtigte Gen durch mindestens drei unabhängige Studien); daraus abgeleitete Empfehlungen sind logische Schlussfolgerungen und nicht wissenschaftlich bewiesen. Rechtliche Vorgaben können sich ändern; Irrtümer und Änderungen vorbehalten.