Besondere Kategorien personenbezogener Daten: das Verarbeitungsverbot nach Art. 9 DSGVO

Was sind besondere Kategorien personenbezogener Daten?

Zu den besonderen Kategorien zählt die Verarbeitung von Daten, „aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person" — diese Verarbeitung ist nach Art. 9 Abs. 1 DSGVO wörtlich „untersagt". Anders als bei „normalen" personenbezogenen Daten reicht hier eine Rechtsgrundlage nach Art. 6 DSGVO allein nicht aus.

Der Grund für diesen verschärften Schutz: Informationen über Gesundheit, Religion, politische Überzeugung oder sexuelle Orientierung bergen ein erhebliches Diskriminierungsrisiko. In der Praxis wird dafür oft der umgangssprachliche Begriff „sensible Daten" verwendet — der DSGVO-Text selbst kennt nur „besondere Kategorien personenbezogener Daten".

Welche Ausnahmen erlaubt Art. 9 Abs. 2 DSGVO?

Art. 9 Abs. 2 DSGVO nennt abschließend zehn Ausnahmetatbestände (lit. a–j), von denen mindestens einer zusätzlich zur Rechtsgrundlage nach Art. 6 erfüllt sein muss:

• lit. a — ausdrückliche Einwilligung: Die betroffene Person hat „in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt".
• lit. b — Arbeits- und Sozialrecht: Verarbeitung zur Erfüllung von Pflichten aus dem Arbeits-, Sozialversicherungs- oder Sozialschutzrecht.
• lit. c — lebenswichtige Interessen: wenn die betroffene Person aus körperlichen oder rechtlichen Gründen nicht einwilligen kann.
• lit. d — gemeinnützige Vereinigungen: im Rahmen der rechtmäßigen Tätigkeit einer politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichteten, nicht auf Gewinnerzielung angelegten Stiftung, Vereinigung oder sonstigen Stelle, ausschließlich gegenüber deren Mitgliedern und ohne Offenlegung an Dritte ohne Einwilligung.
• lit. e — offensichtlich öffentlich gemachte Daten: „die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat".
• lit. f — Rechtsansprüche: Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder gerichtliche Verfahren.
• lit. g — erhebliches öffentliches Interesse: auf Grundlage von Unions- oder Mitgliedstaatenrecht mit angemessenen Garantien.
• lit. h — Gesundheitsvorsorge: „die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich" erforderlich.
• lit. i — öffentliche Gesundheit: aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit.
• lit. j — Archiv-, Forschungs- und Statistikzwecke: für im öffentlichen Interesse liegende Archivzwecke sowie für wissenschaftliche, historische Forschungs- oder statistische Zwecke nach Art. 89 Abs. 1.

National ergänzt § 22 BDSG (Verarbeitung besonderer Kategorien personenbezogener Daten) diese Ausnahmen um weitere, jeweils an eigene Voraussetzungen geknüpfte Tatbestände: Abs. 1 Nr. 1 lit. a–d erlaubt öffentlichen und nichtöffentlichen Stellen die Verarbeitung u. a. zur Ausübung von Rechten aus dem Sozialrecht, für Gesundheitsvorsorge und Arbeitsfähigkeitsbeurteilung, für die öffentliche Gesundheit sowie bei zwingendem, erheblichem öffentlichen Interesse; Abs. 1 Nr. 2 lit. a–c erlaubt öffentlichen Stellen zusätzlich die Verarbeitung zur Abwehr einer erheblichen Gefahr für die öffentliche Sicherheit, zur Wahrung erheblicher Belange des Gemeinwohls oder für Verteidigungs- und internationale Verpflichtungen. Wegen des hohen Risikos ist bei besonderen Kategorien häufig zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht.

Was hat der EuGH im Fall Schrems/Meta entschieden?

Im Urteil vom 04.10.2024 (Rechtssache C-446/21) hat der EuGH entschieden, dass ein soziales Netzwerk personenbezogene Daten nicht „zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art" für zielgerichtete Werbung aggregieren, analysieren und verwenden darf — ein Verstoß gegen den Grundsatz der Datenminimierung. Konkret ging es um Maximilian Schrems, der seine sexuelle Orientierung in einer öffentlichen Podiumsdiskussion erwähnt hatte. Der Gerichtshof stellte klar: Diese eigene öffentliche Äußerung erlaubt dem Netzwerkbetreiber nicht, zusätzliche, aus anderen Quellen stammende Daten zur selben besonderen Kategorie zu verarbeiten, zu aggregieren und für personalisierte Werbung auszuwerten.

Was unterscheidet Art. 9 von Art. 10 DSGVO?

Art. 10 DSGVO regelt einen eigenen, strengeren Sonderfall: Daten über strafrechtliche Verurteilungen und Straftaten. Diese Verarbeitung „darf nur unter behördlicher Aufsicht vorgenommen werden oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten […] zulässig ist" — mit geeigneten Garantien für die Rechte der betroffenen Personen. Die zehn Ausnahmen des Art. 9 Abs. 2 sind darauf nicht anwendbar; umfassende Register strafrechtlicher Verurteilungen dürfen ausschließlich unter behördlicher Aufsicht geführt werden.

Bußgeldrahmen bei Verstößen

Verstöße gegen Art. 9 DSGVO fallen unter die höhere Bußgeldstufe. Art. 83 Abs. 5 lit. a DSGVO erfasst ausdrücklich „die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9" — der Rahmen reicht bis zu 20 000 000 EUR oder bis zu 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist derselbe Rahmen wie bei Verstößen gegen die Betroffenenrechte nach Art. 15–22 DSGVO, mit denen besondere Kategorien inhaltlich eng zusammenhängen.