Startseite › Ratgeber White-Label-Gentests › Datenschutz

Datenschutz bei White-Label-Gentests: Rollen, Einwilligung, Aufbewahrung

Fachlich geprüft von Dr. Daniel Wallerstorfer, Molekularbiologe und Gründer von Novogenia · Stand: 13. Oktober 2026 · Lesezeit: 11 Min.

Ein Staffellauf mit Erbgut: Warum jede Übergabe zählt

Was passiert mit den genetischen Daten deiner Kundinnen und Kunden, wenn ein Unternehmen in die Insolvenz geht? Bei Novogenia steht die Antwort in den AGB: Zu den Grundsätzen, die in die Datenschutzinformation zur genetischen Analyse übernommen werden, gehört die Löschung der genetischen Daten im Insolvenzfall. Solche Fragen klingen theoretisch – bis du eine Marke auf Gendaten aufbaust.

Ein White-Label-Gentest ist ein Staffellauf. Deine Marke nimmt die Bestellung an, das Kit reist zur Kundin, die Probe ins Labor, das Ergebnis in den Bericht und auf die Plattform; bei medizinischen Analysen läuft eine Ärztin oder ein Arzt mit. Der Staffelstab sind genetische Daten – und bei jeder Übergabe muss klar sein, wer gerade läuft und wer für die Strecke einsteht.

Die Datenschutz-Grundverordnung (DSGVO) definiert genetische Daten als personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer Person, die eindeutige Informationen über ihre Physiologie oder Gesundheit liefern und insbesondere aus der Analyse einer biologischen Probe gewonnen werden (Art. 4 Nr. 13). Ihre Verarbeitung ist grundsätzlich untersagt (Art. 9 Abs. 1), außer eine Ausnahme nach Art. 9 Abs. 2 greift – bei Gentests für Endkunden vor allem die ausdrückliche Einwilligung. Das gilt für Lifestyle-Analysen genauso wie für medizinische. Die Grundlagen für die Beratungspraxis erklärt Genetische Daten und DSGVO; hier geht es um das, was bei einer eigenen Marke dazukommt.

Wer läuft welche Strecke? Die Rollen von Marke und Labor

Die DSGVO kennt drei Rollen. Verantwortlicher ist, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7). Auftragsverarbeiter ist, wer Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8). Legen zwei oder mehr Verantwortliche Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche (Art. 26). Welche Rolle wer hat, ergibt sich aus dem, was tatsächlich passiert – nicht aus der Überschrift im Vertrag. So beschreibt es der Europäische Datenschutzausschuss in seinen Leitlinien 07/2020.

Ein Auftragsverarbeitungsvertrag ist mehr als ein Formular. Er legt unter anderem fest, dass das Labor nur auf deine dokumentierte Weisung verarbeitet, dass die beteiligten Personen zur Vertraulichkeit verpflichtet sind, welche Sicherheitsmaßnahmen gelten, dass weitere Auftragsverarbeiter nur mit deiner Genehmigung hinzukommen und dass am Ende alle Daten nach deiner Wahl gelöscht oder zurückgegeben werden (Art. 28 Abs. 2 und 3). Und: Ein Auftragsverarbeiter, der selbst über Zwecke und Mittel entscheidet, gilt insoweit als Verantwortlicher (Art. 28 Abs. 10).

Praxis-Tipp: Schreib vor dem Start auf, wer die Kundin nach Art. 13 informiert, wer Auskunfts- und Löschanfragen beantwortet und wer welche Daten wann löscht. Bei Novogenia regelt die Datenschutzinformation zur genetischen Analyse, wer für welche Verarbeitung verantwortlich ist.

Die Einwilligung: der Startschuss für jede Analyse

Ohne ausdrückliche Einwilligung für festgelegte Zwecke läuft bei Gentests für Endkunden nichts (Art. 9 Abs. 2 Buchst. a DSGVO). Du musst sie nachweisen können (Art. 7 Abs. 1), und die Kundin kann sie jederzeit widerrufen (Art. 7 Abs. 3). Ein bereits angekreuztes Kästchen ist keine Einwilligung (Erwägungsgrund 32).

Bei White Label kommt eine praktische Frage dazu: Die Einwilligung entsteht meist in deinem Shop oder bei der Registrierung des Kits – gebraucht wird sie aber auch im Labor. Plane deshalb, wie der Nachweis dorthin gelangt und wie ein Widerruf dort ankommt. National gilt zusätzlich:

• Deutschland, medizinisch: Die Einwilligung erfolgt ausdrücklich und schriftlich gegenüber der verantwortlichen ärztlichen Person und umfasst auch die Verarbeitung der genetischen Daten; das beauftragte Labor analysiert erst mit einem Nachweis der Einwilligung (§ 8 Abs. 1 GenDG).
• Österreich: Daten aus genetischen Analysen im Sinne des GTG gehen an andere als die im Gesetz genannten Personen nur mit ausdrücklicher schriftlicher Zustimmung, die jederzeit schriftlich widerrufen werden kann (§ 71 Abs. 2 GTG).
• Schweiz: Jede genetische Untersuchung setzt eine freie und ausdrückliche Zustimmung nach hinreichender Aufklärung voraus (Art. 5 GUMG).

Wer sieht was? Nur, wer es wirklich braucht

Eine eigene Marke verführt dazu, alles sehen zu wollen: jedes Ergebnis, jeden Bericht. Die DSGVO bremst: Daten müssen auf das für den Zweck notwendige Maß beschränkt sein (Art. 5 Abs. 1 Buchst. c), und durch Voreinstellung werden grundsätzlich nur die Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind (Art. 25 Abs. 2). Frag dich deshalb: Wofür braucht deine Marke Einblick? Für den Kundenservice reichen oft Bestellstatus und Versanddaten. Bei Novogenia entscheidest du als Partner selbst, ob du die Berichte deiner Kundinnen und Kunden siehst.

• Arbeitgeber: Sie dürfen genetische Ergebnisse ihrer Beschäftigten weder verlangen noch verwenden (§ 19 GenDG, § 67 GTG, Art. 37 GUMG). Mehr zum Aufbau solcher Programme: Betriebliche Gesundheitsförderung.
• Versicherer: Auch sie dürfen genetische Ergebnisse grundsätzlich weder verlangen noch verwenden (§ 18 GenDG, § 67 GTG, Art. 37 GUMG) – mit eng begrenzten Ausnahmen in Deutschland und Österreich.
• Sicherheit: Schütze Berichte mit geeigneten technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) – ein gesichertes Portal ist besser als ein E-Mail-Anhang. Wie Berichte und Plattform unter deiner Marke aussehen, zeigt Berichte und Plattform unter deiner Marke.

Aufbewahren und vernichten: Auch Proben haben ein Ablaufdatum

Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es der Zweck erfordert (Art. 5 Abs. 1 Buchst. e DSGVO). Für genetische Proben und Ergebnisse werden manche Gesetze konkreter:

Wo kein Spezialgesetz eine Frist vorgibt, legst du sie selbst fest – begründet mit dem Zweck – und schreibst sie in Datenschutzinformation und Vertrag. Denk dabei an beides: die Probe im Labor und die Daten auf der Plattform.

Forschung und Produktentwicklung: nur mit eigener Zustimmung

Gendaten vieler Menschen sind für Forschung und Produktentwicklung wertvoll. Genau deshalb braucht jede Nutzung über den ursprünglichen Zweck hinaus eine eigene, saubere Grundlage:

• DSGVO: Eine Weiterverarbeitung für wissenschaftliche Forschungszwecke gilt nicht als unvereinbar mit dem ursprünglichen Zweck (Art. 5 Abs. 1 Buchst. b), braucht aber geeignete Garantien wie Datenminimierung und, wo möglich, Pseudonymisierung (Art. 89 Abs. 1). Für genetische Daten bleibt Art. 9 maßgeblich: ausdrückliche Einwilligung (Abs. 2 Buchst. a) oder eine Grundlage im Unions- oder nationalen Recht (Abs. 2 Buchst. j) – in Deutschland etwa § 27 BDSG mit einer Interessenabwägung.
• Einwilligung für Forschungsbereiche: Weil sich Forschungszwecke bei der Erhebung oft nicht vollständig angeben lassen, sollen Betroffene ihre Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung geben können, wenn das unter Einhaltung anerkannter ethischer Standards geschieht (Erwägungsgrund 33).
• Deutschland, medizinisch: Eine genetische Probe darf für andere Zwecke nur verwendet werden, wenn ein Gesetz es erlaubt oder die Person nach Unterrichtung ausdrücklich und schriftlich eingewilligt hat (§ 13 Abs. 2 GenDG).
• Österreich: Genetische Analysen für wissenschaftliche Zwecke dürfen nur an de-identifizierten Proben durchgeführt werden (§ 66 Abs. 1 GTG).
• Schweiz: Unverschlüsselt oder verschlüsselt dürfen Proben und genetische Daten nur mit freier und ausdrücklicher Zustimmung nach hinreichender Aufklärung zu einem anderen Zweck verwendet werden; anonymisiert, wenn die Person vorher informiert wurde und nicht widersprochen hat (Art. 12 GUMG).

Für deine Marke heißt das: Mach die Forschungseinwilligung zu einer eigenen, freiwilligen Entscheidung – getrennt von der Bestellung und jederzeit widerrufbar. Wie Studien mit einem Genotypisierungslabor ablaufen, zeigt Genotypisierung für Forschung und Studien.

Schweiz: DSG und GUMG statt DSGVO

Für Kundinnen und Kunden in der Schweiz gilt nicht die DSGVO, sondern das Bundesgesetz über den Datenschutz (DSG); für genetische Daten verweist Art. 10 Abs. 2 GUMG ausdrücklich darauf. Die Grundideen kennst du aus der DSGVO, die Details unterscheiden sich:

• Besonders schützenswert: Genetische Daten sind besonders schützenswerte Personendaten (Art. 5 Bst. c Ziff. 3 DSG); eine erforderliche Einwilligung muss ausdrücklich erfolgen (Art. 6 Abs. 7).
• Auftragsbearbeiter: So heißt der Auftragsverarbeiter in der Schweiz. Er bearbeitet Daten nur so, wie du es selbst dürftest; du vergewisserst dich, dass er die Datensicherheit gewährleisten kann, und an Dritte gibt er die Bearbeitung nur mit deiner vorgängigen Genehmigung weiter (Art. 9 DSG).
• Labor in Österreich: Personendaten dürfen in Staaten gehen, denen der Bundesrat einen angemessenen Schutz bescheinigt (Art. 16 Abs. 1 DSG); Österreich und Deutschland stehen in Anhang 1 der Datenschutzverordnung (DSV). Den Staat nennst du der betroffenen Person (Art. 19 Abs. 4 DSG).
• Zusätzlich nach GUMG: Die schriftliche Aufklärung nennt das Labor, beteiligte Firmen und Labore im Ausland und die Kontaktdaten der für die Datenbearbeitung verantwortlichen Person (Art. 32 GUMG). Wer genetische Daten bearbeitet, beschränkt den Zugriff auf die Personen, die sie für ihre Aufgaben brauchen, protokolliert die für die Rückverfolgbarkeit maßgeblichen Bearbeitungen und übermittelt sicher (Art. 3 Abs. 2 GUMV).
• Folgenabschätzung: Bei umfangreicher Bearbeitung besonders schützenswerter Personendaten erstellt der Verantwortliche vorab eine Datenschutz-Folgenabschätzung (Art. 22 DSG).

Checkliste: Datenschutz für deine Gentest-Marke

• Die Rollen von Marke, Labor und gegebenenfalls Ärztin oder Arzt sind schriftlich geklärt – mit Auftragsverarbeitungsvertrag (Art. 28) oder Vereinbarung nach Art. 26.
• Die Einwilligung ist ausdrücklich, zweckgebunden und nachweisbar; Nachweis und Widerruf erreichen das Labor.
• Die Datenschutzinformation nennt Verantwortliche, Zwecke, Empfänger oder Kategorien von Empfängern und die Speicherdauer (Art. 13); in der Schweiz zusätzlich Labor und Staat (Art. 32 GUMG, Art. 19 DSG).
• Deine Marke sieht nur, was sie für ihren Zweck braucht; Arbeitgeber und Versicherer erhalten keine genetischen Ergebnisse.
• Für Proben und Daten gibt es feste Fristen zur Aufbewahrung und Vernichtung; das Vertragsende ist geregelt (Art. 28 Abs. 3 Buchst. g).
• Forschung oder Produktentwicklung mit Kundendaten nur mit eigener, freiwilliger Zustimmung.
• Bei umfangreicher Verarbeitung genetischer Daten: Datenschutz-Folgenabschätzung (Art. 35 Abs. 3 Buchst. b DSGVO, Art. 22 DSG).

Häufige Fragen

Passend dazu: Genetische Daten und DSGVO · Recht: Gentests anbieten in DE, AT und CH · Berichte und Plattform unter deiner Marke

Hinweis: Dieser Ratgeber dient der allgemeinen Information für Unternehmen und Fachleute und ersetzt keine ärztliche oder rechtliche Beratung. Die in einer Genanalyse bestimmten genetischen Eigenschaften sind wissenschaftlich gut belegt (jedes berücksichtigte Gen durch mindestens drei unabhängige Studien); daraus abgeleitete Empfehlungen sind logische Schlussfolgerungen und nicht wissenschaftlich bewiesen. Rechtliche Vorgaben können sich ändern; Irrtümer und Änderungen vorbehalten.