Startseite › Ratgeber Nutrigenetik › Genetische Daten und DSGVO

Genetische Daten und DSGVO: Was du in deiner Beratung beachten musst

Fachlich geprüft von Dr. Daniel Wallerstorfer, Molekularbiologe und Gründer von Novogenia · Stand: 12. Oktober 2026 · Lesezeit: 11 Min.

Ein Passwort, das sich nie ändern lässt: Warum genetische Daten besonders sind

Wird dein Passwort gestohlen, änderst du es. Deine Gene kannst du nicht ändern. Sie begleiten dich ein Leben lang – und sie verraten auch etwas über deine Eltern, Geschwister und Kinder. Genau deshalb schützt das Datenschutzrecht sie besonders streng.

Die Datenschutz-Grundverordnung (DSGVO) definiert genetische Daten als personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer Person, die eindeutige Informationen über ihre Physiologie oder Gesundheit liefern und insbesondere aus der Analyse einer biologischen Probe gewonnen werden (Art. 4 Nr. 13). Eine Speichelprobe für eine Ernährungsanalyse fällt klar darunter – egal, ob die Analyse medizinisch ist oder nicht.

Genetische Daten gehören zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist untersagt (Art. 9 Abs. 1), außer eine der Ausnahmen in Art. 9 Abs. 2 greift. Für eine Genanalyse in der Ernährungsberatung kommt dafür vor allem die ausdrückliche Einwilligung infrage. Außerdem dürfen die Mitgliedstaaten für genetische Daten zusätzliche Bedingungen einführen (Art. 9 Abs. 4) – darum gelten in Deutschland und Österreich teils eigene Regeln. Für die Schweiz gilt ein eigenes Gesetz; mehr dazu weiter unten.

Die Einwilligung: ein Schlüssel, den deine Klientin jederzeit zurückholen kann

Die Einwilligung ist der Schlüssel, der die Tür zur Verarbeitung öffnet. Für genetische Daten muss sie ausdrücklich sein und sich auf einen oder mehrere festgelegte Zwecke beziehen (Art. 9 Abs. 2 Buchst. a). Und deine Klientin kann den Schlüssel jederzeit zurückholen. Darauf kommt es an:

• Ausdrücklich: eine klare, eigene Erklärung. Laut den Leitlinien 05/2020 des Europäischen Datenschutzausschusses (EDPB) ist eine unterschriebene schriftliche Erklärung ein naheliegender Weg; online kann die Person auch ein elektronisches Formular ausfüllen, eine E-Mail senden, ein unterschriebenes Dokument hochladen oder elektronisch signieren. Ein bereits angekreuztes Kästchen ist keine Einwilligung (Erwägungsgrund 32).
• Nachweisbar: Du musst belegen können, dass die Person eingewilligt hat (Art. 7 Abs. 1).
• Widerrufbar: Die Person kann jederzeit widerrufen, der Widerruf muss so einfach sein wie die Einwilligung, und du informierst sie vorher darüber (Art. 7 Abs. 3).
• Zweckgebunden: Die Daten dürfen nicht für Zwecke weiterverarbeitet werden, die mit dem ursprünglichen Zweck unvereinbar sind (Art. 5 Abs. 1 Buchst. b). Kommt ein neuer Zweck dazu, brauchst du laut EDPB eine neue Einwilligung.

National kommt einiges dazu. Für genetische Untersuchungen zu medizinischen Zwecken verlangt Deutschland eine ausdrückliche und schriftliche Einwilligung gegenüber der verantwortlichen ärztlichen Person (§ 8 GenDG). In der Schweiz setzt jede genetische Untersuchung eine freie und ausdrückliche Zustimmung nach hinreichender Aufklärung voraus (Art. 5 GUMG). In Österreich dürfen Daten aus genetischen Analysen im Sinne des GTG an andere als die im Gesetz genannten Personen nur mit ausdrücklicher und schriftlicher Zustimmung der untersuchten Person übermittelt werden (§ 71 Abs. 2 GTG).

Keine Überraschungen: Was deine Klienten vorher erfahren

Transparenz ist kein Kleingedrucktes, sondern Pflicht. Erhebst du Daten bei deiner Klientin, teilst du ihr zum Zeitpunkt der Erhebung unter anderem mit (Art. 13 DSGVO):

• wer verantwortlich ist, mit Kontaktdaten, und gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten,
• Zwecke und Rechtsgrundlage der Verarbeitung,
• Empfänger oder Kategorien von Empfängern – etwa das Labor,
• gegebenenfalls die Absicht, Daten in ein Drittland zu übermitteln,
• wie lange die Daten gespeichert werden oder nach welchen Kriterien sich das richtet,
• ihre Rechte, darunter das Recht, die Einwilligung jederzeit zu widerrufen, und das Beschwerderecht bei einer Aufsichtsbehörde.

Die Informationen müssen transparent, verständlich und leicht zugänglich sein, in klarer und einfacher Sprache (Art. 12 Abs. 1). In der Schweiz kommen bei Untersuchungen außerhalb der Medizin schriftliche Aufklärungspflichten nach Art. 32 GUMG dazu, etwa die Nennung des Labors und beteiligter Firmen und Labore im Ausland.

Bauherr oder Handwerker? Wer im Team aus Beratung und Labor welche Rolle hat

Bei einer Genanalyse arbeiten mindestens zwei zusammen: du und das Labor. Die DSGVO fragt: Wer entscheidet über Zwecke und Mittel der Verarbeitung? Das ist der Verantwortliche – wie ein Bauherr, der festlegt, was gebaut wird (Art. 4 Nr. 7). Wer Daten im Auftrag verarbeitet, ist Auftragsverarbeiter – wie ein Handwerker, der nach Plan arbeitet (Art. 4 Nr. 8). Legen zwei gemeinsam Zwecke und Mittel fest, sind sie gemeinsam Verantwortliche (Art. 26).

Wichtig: Die Rollen ergeben sich aus dem, was tatsächlich passiert, nicht aus der Überschrift im Vertrag. So beschreibt es der EDPB in seinen Leitlinien 07/2020: Die Begriffe sind funktionell und weisen die Verantwortung nach den tatsächlichen Rollen zu.

Praxis-Tipp: Kläre mit deinem Labor schriftlich, wer welche Rolle hat und wer welche Pflicht übernimmt – bevor die erste Probe verschickt wird. Achte besonders darauf, wer deine Klientinnen und Klienten nach Art. 13 informiert und wer Anfragen nach Auskunft oder Löschung beantwortet.

Packen wie für eine Bergtour: Nimm nur mit, was du brauchst

Pack deine Daten wie einen Rucksack für eine Bergtour: Was du nicht brauchst, bleibt zu Hause. Die DSGVO nennt das Datenminimierung – Daten müssen dem Zweck angemessen und auf das notwendige Maß beschränkt sein (Art. 5 Abs. 1 Buchst. c). Und sie dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es der Zweck erfordert (Speicherbegrenzung, Art. 5 Abs. 1 Buchst. e).

• Frag dich ehrlich: Brauchst du für deine Beratung den vollständigen Bericht – oder reichen die Ergebnisse, die du mit deiner Klientin besprichst?
• Sichere Wege: Schütze Berichte mit geeigneten technischen und organisatorischen Maßnahmen (Art. 32) – ein gesichertes Portal ist besser als ein ungeschützter E-Mail-Anhang.
• Datenschutz von Anfang an: Plane Abläufe und Voreinstellungen so, dass sie die Datenschutzgrundsätze umsetzen, etwa durch Pseudonymisierung (Art. 25).
• Löschfrist: Leg fest, wann du Unterlagen löschst, und halte dich daran.

Für manche Fälle gibt das Gesetz Fristen vor. In Deutschland bewahrt die verantwortliche ärztliche Person die Ergebnisse genetischer Untersuchungen zu medizinischen Zwecken zehn Jahre auf und vernichtet sie danach (§ 12 GenDG). In der Schweiz sind Proben und Daten der übrigen Untersuchungen nach Art. 31 Abs. 2 GUMG spätestens zwei Jahre nach der Durchführung zu vernichten, außer die Person hat einer anderen Verwendung zugestimmt oder der Anonymisierung nicht widersprochen (Art. 11 Abs. 2 GUMG).

Die Rechte deiner Klientinnen und Klienten

Deine Klientinnen und Klienten behalten die Kontrolle über ihre Daten. Die wichtigsten Rechte nach der DSGVO:

• Auskunft über die verarbeiteten Daten (Art. 15) und Berichtigung unrichtiger Daten (Art. 16)
• Löschung, zum Beispiel nach einem Widerruf der Einwilligung, wenn keine andere Rechtsgrundlage besteht (Art. 17)
• Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20)
• Widerruf der Einwilligung jederzeit (Art. 7 Abs. 3)

Auf Anträge reagierst du unverzüglich, spätestens aber innerhalb eines Monats; bei komplexen Fällen ist eine Verlängerung um zwei Monate möglich (Art. 12 Abs. 3). Dazu kommt ein Recht, das es nur im Genetikrecht gibt: das Recht auf Nichtwissen. In der Schweiz hat jede Person das Recht, die Kenntnisnahme von Informationen über ihr Erbgut ganz oder teilweise zu verweigern (Art. 8 GUMG). In Deutschland ist es bei Untersuchungen zu medizinischen Zwecken Teil der Aufklärung (§ 9 Abs. 2 Nr. 5 GenDG), in Österreich bei Analysen des Typs 2 bis 4 Teil der Beratung (§ 69 Abs. 5 GTG).

Betriebliche Gesundheitsförderung: Der Arbeitgeber bleibt draußen

Bietest du Genanalysen in Unternehmen an, braucht es eine dicke Mauer zwischen Ergebnis und Arbeitgeber. Das Gesetz baut sie in allen drei Ländern:

• Deutschland: Der Arbeitgeber darf von Beschäftigten weder genetische Untersuchungen oder Analysen verlangen noch die Mitteilung von Ergebnissen verlangen, solche Ergebnisse entgegennehmen oder verwenden (§ 19 GenDG).
• Österreich: Arbeitgebern ist es verboten, Ergebnisse aus genetischen Analysen von Arbeitnehmern oder Arbeitsuchenden zu erheben, zu verlangen, anzunehmen oder sonst zu verwerten (§ 67 Abs. 1 GTG).
• Schweiz: Arbeitgeber dürfen weder genetische Untersuchungen außerhalb des medizinischen Bereichs verlangen noch nach medizinisch nicht relevanten genetischen Daten fragen oder solche Daten verwerten (Art. 37 GUMG).

Plane ein solches Angebot deshalb so, dass die Teilnahme freiwillig bleibt, das Ergebnis nur an die Mitarbeiterin oder den Mitarbeiter geht und der Arbeitgeber keine Einzelergebnisse erhält. Eine Einwilligung muss freiwillig sein (Art. 4 Nr. 11 DSGVO) – im Arbeitsverhältnis lohnt es sich, darauf besonders zu achten.

Schweiz: Datenschutzgesetz statt DSGVO

Die Schweiz ist kein EU-Mitglied. Für die Bearbeitung genetischer Daten verweist Art. 10 Abs. 2 GUMG auf die Datenschutzbestimmungen von Bund und Kantonen. Für private Personen – also auch für dich als Beraterin oder Berater – gilt das revidierte Bundesgesetz über den Datenschutz (DSG), in Kraft seit 1. September 2023 (Art. 2 Abs. 1 Bst. a DSG). Die Grundideen kennst du aus der DSGVO, die Details unterscheiden sich:

• Besonders schützenswert: Genetische Daten gelten als besonders schützenswerte Personendaten (Art. 5 Bst. c Ziff. 3 DSG).
• Ausdrückliche Einwilligung: Ist eine Einwilligung erforderlich, muss sie für besonders schützenswerte Personendaten ausdrücklich erfolgen (Art. 6 Abs. 7) – freiwillig, für bestimmte Bearbeitungen und nach angemessener Information (Art. 6 Abs. 6). Für die Untersuchung selbst verlangt Art. 5 GUMG ohnehin eine freie und ausdrückliche Zustimmung.
• Daten ins Ausland: Sie dürfen in Staaten gehen, denen der Bundesrat einen angemessenen Datenschutz bescheinigt hat (Art. 16 Abs. 1 DSG). Die Liste steht in Anhang 1 der Datenschutzverordnung (DSV); alle EU-Staaten, darunter Österreich und Deutschland, stehen darauf. Für andere Staaten braucht es geeignete Garantien (Art. 16 Abs. 2) oder eine Ausnahme, etwa die ausdrückliche Einwilligung der betroffenen Person (Art. 17 Abs. 1 Bst. a).
• Transparenz: Gehen Daten ins Ausland, nennst du der betroffenen Person auch den Staat (Art. 19 Abs. 4 DSG).
• Folgenabschätzung: Kann eine Bearbeitung ein hohes Risiko mit sich bringen, erstellt der Verantwortliche vorab eine Datenschutz-Folgenabschätzung – namentlich bei umfangreicher Bearbeitung besonders schützenswerter Personendaten (Art. 22 Abs. 1 und 2 DSG).

Checkliste: Datenschutz in deiner Praxis

• Rollen mit dem Labor schriftlich geklärt – mit Auftragsverarbeitungsvertrag (Art. 28) oder Vereinbarung gemeinsam Verantwortlicher (Art. 26), wo nötig.
• Ausdrückliche Einwilligung für festgelegte Zwecke eingeholt und dokumentiert (Art. 9 Abs. 2 Buchst. a, Art. 7 Abs. 1).
• Datenschutzinformation nach Art. 13 vollständig und verständlich übergeben.
• Verzeichnis der Verarbeitungstätigkeiten geführt – die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten gilt nicht, wenn du besondere Datenkategorien verarbeitest (Art. 30 Abs. 5).
• Berichte nur über sichere Wege, Zugriff nur für die, die ihn brauchen (Art. 32).
• Löschfristen festgelegt und eingehalten (Art. 5 Abs. 1 Buchst. e).
• Notfallplan für Datenpannen: Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden (Art. 33).
• Bei umfangreicher Verarbeitung genetischer Daten: Datenschutz-Folgenabschätzung (Art. 35 Abs. 3 Buchst. b) und, wenn das deine Kerntätigkeit ist, ein Datenschutzbeauftragter (Art. 37 Abs. 1 Buchst. c).

Häufige Fragen

Passend dazu: Wer darf Gentests anbieten? · Den Genbericht verständlich erklären · Partner- und White-Label-Modelle

Hinweis: Dieser Ratgeber dient der allgemeinen Information für Fachleute und ersetzt keine ärztliche oder rechtliche Beratung. Die in einer Genanalyse bestimmten genetischen Eigenschaften sind wissenschaftlich gut belegt (jedes berücksichtigte Gen durch mindestens drei unabhängige Studien); daraus abgeleitete Empfehlungen zu Ernährung, Mikronährstoffen und Lebensstil sind logische Schlussfolgerungen und nicht wissenschaftlich bewiesen. Rechtliche Vorgaben können sich ändern; Irrtümer und Änderungen vorbehalten.