Besondere Kategorien personenbezogener Daten sind besonders sensible Daten, die Art. 9 Abs. 1 DSGVO abschließend aufzählt, etwa Gesundheitsdaten, religiöse Überzeugungen, die Gewerkschaftszugehörigkeit oder biometrische Daten zur Identifizierung. Ihre Verarbeitung ist grundsätzlich verboten. Erlaubt ist sie nur, wenn eine Ausnahme nach Art. 9 Abs. 2 DSGVO greift und zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO besteht.
Welche Daten fallen unter Art. 9 DSGVO?
| Kategorie | Beispiele aus Unternehmen |
|---|---|
| Rassische und ethnische Herkunft | Angaben in Diversity-Befragungen, Fotos mit entsprechendem Auswertungszweck |
| Politische Meinungen | Parteimitgliedschaft in Bewerbungsunterlagen |
| Religiöse oder weltanschauliche Überzeugungen | Konfession für die Kirchensteuer in der Lohnabrechnung |
| Gewerkschaftszugehörigkeit | Beitragsabzug über die Gehaltsabrechnung |
| Genetische Daten | Ergebnisse genetischer Analysen, etwa in Labor und Forschung |
| Biometrische Daten zur eindeutigen Identifizierung | Fingerabdruck oder Gesichtserkennung für Zutritt oder Zeiterfassung |
| Gesundheitsdaten | Diagnosen, Arbeitsunfähigkeitszeiten, Schwerbehinderung, Impfstatus |
| Sexualleben und sexuelle Orientierung | Angaben in Beratungsstellen, Dating-Apps |
Gesundheitsdaten sind alle Daten über die körperliche oder geistige Gesundheit einer Person, einschließlich der Erbringung von Gesundheitsdienstleistungen (Art. 4 Nr. 15 DSGVO). Biometrische Daten definiert Art. 4 Nr. 14 DSGVO. Ein normales Foto ist nur dann ein biometrisches Datum im Sinne des Art. 9, wenn es mit speziellen technischen Mitteln zur eindeutigen Identifizierung verarbeitet wird (EG 51 DSGVO).
Auch indirekte Rückschlüsse zählen
Der EuGH legt Art. 9 DSGVO weit aus. Es genügt, dass sich die sensible Information mittelbar aus den Daten ergibt. So kann schon der Name des Ehe- oder Lebenspartners Rückschlüsse auf die sexuelle Orientierung erlauben (EuGH, Urteil vom 01.08.2022, C-184/20). Auch Bestelldaten für apothekenpflichtige Arzneimittel in einem Online-Shop sind Gesundheitsdaten, selbst wenn das Mittel nicht verschreibungspflichtig ist (EuGH, Urteil vom 04.10.2024, C-21/23, Lindenapotheke). Prüfen Sie deshalb nicht nur, welche Felder Sie erheben, sondern auch, was sich aus den Daten ableiten lässt.
Die Ausnahmen nach Art. 9 Abs. 2 DSGVO
Das Verarbeitungsverbot gilt nicht, wenn eine der folgenden Ausnahmen greift:
- lit. a, ausdrückliche Einwilligung: Die Person willigt ausdrücklich für festgelegte Zwecke ein. Ein Kreuz im Kleingedruckten genügt nicht.
- lit. b, Arbeitsrecht und soziale Sicherheit: In Deutschland konkretisiert durch § 26 Abs. 3 BDSG, etwa für Arbeitsunfähigkeitszeiten, Schwerbehinderung oder Kirchensteuer.
- lit. c, lebenswichtige Interessen, wenn die Person nicht einwilligen kann.
- lit. d, Stiftungen, Vereine und Gewerkschaften mit politischer, weltanschaulicher, religiöser oder gewerkschaftlicher Ausrichtung, für ihre Mitglieder und ohne Offenlegung nach außen.
- lit. e, offensichtlich öffentlich gemachte Daten der betroffenen Person.
- lit. f, Rechtsansprüche und Handlungen der Gerichte.
- lit. g, erhebliches öffentliches Interesse auf gesetzlicher Grundlage, vgl. § 22 Abs. 1 BDSG.
- lit. h, Gesundheitsvorsorge und Versorgung, etwa in Arztpraxis, Pflegedienst oder Arbeitsmedizin, vgl. § 22 Abs. 1 Nr. 1 lit. b BDSG. Die Verarbeitung erfolgt durch Fachpersonal, das einer Geheimhaltungspflicht unterliegt (Art. 9 Abs. 3 DSGVO).
- lit. i, öffentliche Gesundheit, etwa beim Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren.
- lit. j, Archiv, Forschung und Statistik, vgl. § 27 BDSG.
Die ausdrückliche Einwilligung
Wer sich auf eine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO stützt, muss mehr tun als bei normalen Daten. "Ausdrücklich" heißt: Die Erklärung muss sich klar auf die sensiblen Daten und den konkreten Zweck beziehen, etwa durch ein eigenes Kontrollkästchen oder eine gesonderte Unterschrift. Ein schlüssiges Verhalten reicht nicht. Die Person muss vorher verstehen, welche Daten Sie wofür nutzen, und sie kann die Einwilligung jederzeit widerrufen. Im Arbeitsverhältnis ist die Freiwilligkeit besonders zu prüfen (§ 26 Abs. 2 BDSG). Planen Sie deshalb immer, was nach einem Widerruf mit den Daten geschieht.
Art. 9 und Art. 6 DSGVO gelten nebeneinander
Art. 9 DSGVO ersetzt Art. 6 DSGVO nicht. Sie brauchen beides: eine Ausnahme vom Verbot nach Art. 9 Abs. 2 und eine Rechtsgrundlage nach Art. 6 Abs. 1. Der EuGH hat das ausdrücklich bestätigt (EuGH, Urteil vom 21.12.2023, C-667/21). In der Praxis passen oft Paare wie Art. 9 Abs. 2 lit. h mit Art. 6 Abs. 1 lit. b (Behandlungsvertrag) oder Art. 9 Abs. 2 lit. b mit Art. 6 Abs. 1 lit. c (gesetzliche Pflicht des Arbeitgebers).
Welche Schutzmaßnahmen sind Pflicht?
Wer sensible Daten nach § 22 Abs. 1 BDSG verarbeitet, muss angemessene und spezifische Maßnahmen treffen (§ 22 Abs. 2 BDSG). Das Gesetz nennt unter anderem:
- Maßnahmen, mit denen sich nachträglich prüfen lässt, ob und von wem Daten eingegeben, verändert oder entfernt wurden
- Sensibilisierung der Beschäftigten
- Benennung eines Datenschutzbeauftragten
- Beschränkung des Zugangs innerhalb des Unternehmens
- Pseudonymisierung und Verschlüsselung
- Verfahren zur regelmäßigen Überprüfung der Maßnahmen
Weitere Pflichten bei sensiblen Daten
- Datenschutz-Folgenabschätzung: Bei umfangreicher Verarbeitung besonderer Kategorien ist eine DSFA erforderlich (Art. 35 Abs. 3 lit. b DSGVO).
- Datenschutzbeauftragter: Besteht Ihre Kerntätigkeit in der umfangreichen Verarbeitung solcher Daten, müssen Sie einen DSB benennen (Art. 37 Abs. 1 lit. c DSGVO), unabhängig von der Mitarbeiterzahl.
- Verzeichnis: Die Erleichterung für Unternehmen unter 250 Beschäftigten gilt nicht (Art. 30 Abs. 5 DSGVO).
- Datenpannen: Bei sensiblen Daten liegt oft ein hohes Risiko vor. Dann müssen Sie auch die Betroffenen benachrichtigen (Art. 34 DSGVO).
- Strafdaten: Daten über strafrechtliche Verurteilungen und Straftaten sind keine Art.-9-Daten, unterliegen aber eigenen Grenzen (Art. 10 DSGVO).
Beispiele aus der Praxis
Arztpraxis: Patientendaten verarbeitet die Praxis auf Grundlage von Art. 9 Abs. 2 lit. h DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG. Hinzu kommt die ärztliche Schweigepflicht (§ 203 StGB). E-Mails mit Befunden brauchen eine Ende-zu-Ende-Verschlüsselung oder einen sicheren anderen Kanal.
Arbeitgeber: Die Personalabteilung erhält Arbeitsunfähigkeitszeiten und den Schwerbehindertenstatus. Grundlage ist § 26 Abs. 3 BDSG. Der Zugriff bleibt auf wenige Personen beschränkt, Führungskräfte erfahren keine Diagnosen.
Fitness-App: Herzfrequenz und Trainingsdaten sind Gesundheitsdaten. Ohne ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO geht es in der Regel nicht.
Zeiterfassung per Fingerabdruck: Das ist eine biometrische Identifizierung. Weil Chipkarte oder PIN meist genügen, ist das Verfahren im Arbeitsverhältnis regelmäßig nicht erforderlich.
Checkliste für Ihr Unternehmen
- Sensible Daten im Verzeichnis von Verarbeitungstätigkeiten gesondert kennzeichnen.
- Für jede Verarbeitung Ausnahme nach Art. 9 Abs. 2 und Rechtsgrundlage nach Art. 6 Abs. 1 dokumentieren.
- Zugriffe beschränken und nachvollziehbar machen.
- Übermittlung nur verschlüsselt.
- Prüfen, ob eine DSFA oder ein DSB erforderlich ist.
- Beschäftigte mit Zugriff gezielt schulen.
Verstöße gegen Art. 9 DSGVO fallen unter die höhere Bußgeldstufe bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. a DSGVO).