Kurzantwort: Ihre Vorher-Nachher-Fotos und medizinischen Daten werden in der Türkei in der Regel als besonders schützenswerte personenbezogene Daten behandelt und dürfen nur für bestimmte Zwecke wie die Planung, Durchführung oder Überwachung der Gesundheitsversorgung verarbeitet werden. Die Verwendung von Fotos auf einer Website, in sozialen Medien oder in Werbematerialien dient jedoch einem anderen Zweck als der Durchführung der Behandlung. Dafür sollte eine gesonderte, klare und verständliche, vorzugsweise schriftliche Einwilligung eingeholt werden.

Um den tatsächlichen Umfang des Schutzes zu verstehen, sollten Sie sich nicht ausschließlich auf mündliche Erklärungen der Klinik verlassen. Prüfen Sie schriftlich, wer der Verantwortliche für die Datenverarbeitung ist, welche Daten zu welchen Zwecken verarbeitet werden, wie lange sie gespeichert werden, mit wem sie geteilt werden können und ob eine Übermittlung ins Ausland stattfindet.

Wann Vorher-Nachher-Fotos als Gesundheitsdaten gelten

Fotos, auf denen Ihr Gesicht, Ihr Körper, eine Wunde, Ihre Zähne oder ein anderer anatomischer Bereich zu sehen ist, können Ihre persönliche Identifizierung ermöglichen. Wird ein Foto zu Vergleichszwecken vor und nach der Behandlung, zur klinischen Beurteilung, Dokumentation oder Nachsorge aufgenommen, kann es auch Informationen über Ihren Gesundheitszustand enthalten. Daher sollte nicht davon ausgegangen werden, dass ein Foto ausschließlich ein visuelles Werbemittel ist.

Wird ein Foto so verarbeitet, dass Ihre Identität festgestellt oder bestätigt werden kann, kann es sich um biometrische Daten handeln. Diese Beurteilung hängt von der verwendeten Methode und dem Zweck der Verarbeitung ab. Auch eine Passkopie, Fluginformationen, Laborergebnisse, Aufnahmen aus der bildgebenden Diagnostik, Rezeptdaten, Operationsberichte und die Krankengeschichte können Schutzanforderungen für sensible Daten auslösen, wenn sie mit Ihrer Identität verknüpft sind.

Für die Verarbeitung personenbezogener Daten ist in der Türkei der Rahmen des türkischen Datenschutzgesetzes KVKK von Bedeutung. Die bloße Nennung des KVKK bedeutet jedoch nicht automatisch, dass Ihre Daten sicher sind. Es muss zusätzlich geprüft werden, auf welche Rechtsgrundlage sich die Verarbeitung stützt, ob der Zweck eindeutig festgelegt ist, ob mehr Daten als erforderlich erhoben werden und ob der Zugriff ausreichend beschränkt ist.

Aufgaben von Verantwortlichem, Vermittlungsagentur und Klinik

Im Rahmen einer medizinischen Behandlung in der Türkei können dieselben Informationen durch mehrere Organisationen verarbeitet werden. Eine Klinik oder ein Krankenhaus kann medizinische Unterlagen führen. Eine Agentur für Gesundheitstourismus kann für Übersetzung, Transport, Terminvereinbarung und Kommunikation auf bestimmte Informationen zugreifen. Auch das Personal, das die Fotos aufnimmt, oder ein externer Dienstleister kann eine eigene Rolle übernehmen.

Nicht alle diese Organisationen verfügen über dieselben Befugnisse. Informieren Sie sich anhand der schriftlichen Unterlagen, ob die für Ihre Behandlung zuständige Einrichtung der Verantwortliche für die Datenverarbeitung ist, ob die Vermittlungsagentur ausschließlich nach Weisung handelt und an welche Dienstleister die Daten weitergegeben werden. Die Verantwortung der einzelnen Organisationen kann je nach konkreten Verträgen und der tatsächlichen Datenverarbeitung unterschiedlich ausfallen.

In der Ihnen vorgelegten Datenschutzerklärung sollten der Name des Unternehmens oder der Einrichtung, die Verarbeitungszwecke, die erhobenen Datenkategorien, die Empfängergruppen, die Aufbewahrungspraxis und der Kontaktweg für Anfragen verständlich erläutert werden. Werden lediglich allgemeine Formulierungen verwendet und finden sich keine Angaben zur Nutzung der Fotos für Werbung, zur Übermittlung ins Ausland oder zum Zugriff durch Dritte, bitten Sie um eine genauere Erklärung.

Ihre Checkliste für Fotos und medizinische Unterlagen

Prüfen Sie die folgenden Punkte schriftlich, bevor Sie etwas unterschreiben oder Fotos übermitteln:

  • Erhobene Daten: Listen Sie auf, welche Daten verlangt werden, etwa Gesichtsfotos, Körperfotos, Aufnahmen aus der bildgebenden Diagnostik, Laborergebnisse, Arztbriefe, Pass- und Kontaktdaten. Fragen Sie, warum Daten verlangt werden, die für die Behandlung nicht erforderlich erscheinen.
  • Verarbeitungszweck: Klären Sie, ob die Daten ausschließlich für die medizinische Beurteilung und Nachsorge oder auch für Schulungen, wissenschaftliche Arbeiten, die Website, soziale Medien oder Werbung verwendet werden.
  • Gesonderte Einwilligungen: Fassen Sie die für die Gesundheitsversorgung erforderlichen Verarbeitungen und die Nutzung von Fotos zu Werbezwecken nicht in einem einzigen verpflichtenden Einwilligungsfeld zusammen. Lassen Sie sich vorab schriftlich bestätigen, ob die Ablehnung einer Werbe- oder Veröffentlichungserlaubnis Ihren Zugang zur Behandlung beeinträchtigt.
  • Identitätsverbergung: Fragen Sie, ob Methoden wie das Abdecken des Gesichts, das Verpixeln der Augen oder das Zuschneiden des Fotos auf den relevanten Körperbereich angewendet werden. Die Verbergung der Identität verringert das Risiko, garantiert jedoch allein keine vollständige Anonymität.
  • Zugriffsberechtigungen: Ermitteln Sie, welche Personen auf Ihre Fotos und Ihre Akte zugreifen können, etwa Ärzte, Pflegekräfte, Dolmetscher, Callcenter-Mitarbeiter, Vermittlungsagenturen oder externe Dienstleister. Fragen Sie, ob der Zugriff auf die jeweiligen Aufgaben beschränkt ist.
  • Aufbewahrungsdauer: Bitten Sie schriftlich um Angaben dazu, wie lange die Daten aufbewahrt werden, nach welchem Kriterium diese Frist bestimmt wird und wie die Löschung oder Anonymisierung nach der Behandlung erfolgt.
  • Übermittlung ins Ausland: Prüfen Sie, ob die Daten an Cloud-Systeme außerhalb der Türkei, E-Mail-Dienste, Vermittlungsagenturen oder Muttergesellschaften übermittelt werden. Fragen Sie, auf welcher rechtlichen Grundlage die Übermittlung erfolgt und welche Länder betroffen sind.
  • Kopie und Berichtigung: Lassen Sie sich erklären, wie Sie erfahren können, welche Daten über Sie gespeichert sind, wie Sie die Berichtigung fehlerhafter Einträge verlangen und der Nutzung für bestimmte Zwecke widersprechen können.
  • Meldung von Datenschutzverletzungen: Fragen Sie, wie Sie und die zuständigen Behörden im Fall eines unbefugten Zugriffs, Verlusts oder einer fehlerhaften Weitergabe informiert werden. Erkundigen Sie sich, ob die Einrichtung über eine schriftliche Sicherheits- und Richtlinie zum Umgang mit Vorfällen verfügt.

Risiken der Übermittlung und Speicherung von Daten aus dem Ausland

Bevor Sie in die Türkei reisen, können Sie Ihren Pass, medizinische Berichte und Fotos per E-Mail, über eine Messaging-App oder mithilfe eines Online-Formulars senden. In diesem Stadium gelangen die Daten möglicherweise nicht nur zur Klinik, sondern auch zum verwendeten E-Mail-Anbieter, Dateiaustauschsystem oder zur technischen Infrastruktur der Vermittlungsagentur.

Vermeiden Sie es daher, die Unterlagen an eine allgemeine, nicht personenbezogene Chatgruppe zu senden. Fragen Sie, ob die Einrichtung einen sicheren Upload-Kanal anbietet, wer die Dateien herunterladen kann und wie lange der Link aktiv bleibt. Bevor Sie Pässe und medizinische Berichte übermitteln, sollten Sie klären, welche Informationen die Einrichtung tatsächlich benötigt, und unnötige Angaben nicht weitergeben.

Wenn Ihre Daten an ein System außerhalb der Türkei übermittelt werden, können Sie sich über die Bedingungen der Übermittlung, das Empfängerland und die Rolle des Empfängers informieren lassen. Da sich die Regeln für internationale Datenübermittlungen im Laufe der Zeit ändern können, sollten Sie die aktuelle Datenschutzerklärung des Verantwortlichen und bei Bedarf die offiziellen Quellen der türkischen Datenschutzbehörde prüfen.

Achtung: Eine Werbeeinwilligung ist nicht dasselbe wie eine Behandlungseinwilligung

Wenn Sie der Aufnahme eines Vorher-Nachher-Fotos zustimmen, bedeutet dies nicht automatisch, dass Sie auch der Veröffentlichung dieses Fotos in sozialen Medien oder in der Werbung zugestimmt haben. Prüfen Sie gesondert, ob Ihr Gesicht sichtbar oder das Foto anonymisiert verwendet wird und ob die Nutzung nur in der Türkei oder auf internationalen Plattformen erfolgt.

Eine vollständige Entfernung aus dem Internet ist möglicherweise nicht immer möglich. Auf Screenshots, erneute Veröffentlichungen oder Suchmaschinen-Caches besteht unter Umständen keine vollständige Kontrolle. Legen Sie daher vor der Erteilung einer Veröffentlichungserlaubnis schriftlich fest, für welche Kanäle, welchen Zeitraum und welches geografische Gebiet sie gilt, ob Ihre Identität erkennbar sein darf und unter welchen Bedingungen sie widerrufen werden kann.

Der Widerruf Ihrer Einwilligung bedeutet nicht zwangsläufig, dass alle zuvor rechtmäßig vorgenommenen Verarbeitungsvorgänge automatisch gelöscht werden. Die Aufbewahrung klinischer Unterlagen, die Sicherheit einer laufenden Behandlung oder gesetzliche Aufbewahrungspflichten können gesondert zu beurteilen sein. Bitten Sie darum, Ihnen diesen Unterschied klar zu erläutern.

Ihre Rechte und Vorbereitung vor einem Antrag

Sie können vom Verantwortlichen verlangen, Auskunft darüber zu erhalten, welche Daten über Sie verarbeitet werden, zu welchem Zweck sie verwendet werden, an welche Empfängergruppen sie weitergegeben wurden und wie ihre Aufbewahrung geregelt ist. Die Möglichkeiten, unrichtige oder unvollständige Daten berichtigen zu lassen, unter bestimmten rechtlichen Voraussetzungen eine Löschung oder Anonymisierung zu verlangen, einer bestimmten Verarbeitung zu widersprechen oder eine Erklärung zu einer automatisierten Bewertung zu erhalten, hängen von den konkreten Umständen ab.

Bewahren Sie vor einer Anfrage den Vertrag, die Datenschutzerklärung, Einwilligungserklärungen, den E-Mail-Verkehr und die Daten der von Ihnen übermittelten Dateien auf. Möglicherweise müssen Sie zunächst den offiziellen Kontaktweg verwenden, den der jeweilige Verantwortliche angegeben hat. Wenn Sie keine Antwort erhalten oder die Antwort unzureichend ist, informieren Sie sich über die in den aktuellen offiziellen Quellen beschriebenen administrativen Beschwerdewege.

Die Informationen auf dieser Seite stellen keine Rechtsberatung und keine verbindliche Bewertung Ihrer Rechte dar. Insbesondere bei der Nutzung von Fotos für Werbung, der Übermittlung von Daten ins Ausland, einem Vertragsverstoß oder dem Verdacht auf eine Datenschutzverletzung ist es sicherer, eine auf Ihren konkreten Fall bezogene Einschätzung bei einer qualifizierten juristischen Fachperson in Ihrem Land und in der Türkei einzuholen.

Fragen zu diesem Thema

  • Wie kann ich kontrollieren, ob meine personenbezogenen Daten bei einer Behandlung in der Türkei ins Ausland übermittelt werden?
  • Wie kann ich meine Einwilligung zur Nutzung meines Vorher-Nachher-Fotos durch die Klinik für Werbezwecke widerrufen?
  • Welche Beschwerde- oder Antragsmöglichkeiten kann ich prüfen, wenn eine Klinik oder Vermittlungsagentur in der Türkei meine Gesundheitsdaten ohne meine Einwilligung weitergibt?