DSGVO Artikel 9: Besondere Kategorien personenbezogener Daten

Artikel 9 der Datenschutz-Grundverordnung (DSGVO) schützt besonders sensible personenbezogene Daten. Ihre Verarbeitung kann erhebliche Auswirkungen auf die Privatsphäre und die Rechte einer Person haben. Deshalb gilt grundsätzlich ein Verarbeitungsverbot – es sei denn, eine der ausdrücklich geregelten Ausnahmen greift.

Welche Daten sind besonders geschützt?

Artikel 9 Absatz 1 DSGVO nennt folgende Kategorien:

• Daten, aus denen die rassische oder ethnische Herkunft hervorgeht
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische Daten
• Biometrische Daten, wenn sie zur eindeutigen Identifizierung einer Person verarbeitet werden
• Gesundheitsdaten
• Daten zum Sexualleben oder zur sexuellen Orientierung einer Person

Ob eine Information in diese Kategorien fällt, hängt nicht nur von ihrem Inhalt ab. Auch aus anderen Daten abgeleitete Informationen können besonders geschützt sein, wenn sie etwa Rückschlüsse auf die Gesundheit oder politische Überzeugungen einer Person ermöglichen.

Das grundsätzliche Verarbeitungsverbot

Besondere Kategorien personenbezogener Daten dürfen grundsätzlich nicht verarbeitet werden. „Verarbeitung“ umfasst dabei viele Vorgänge, etwa das Erheben, Speichern, Auswerten, Übermitteln oder Löschen von Daten. Das Verbot gilt jedoch nicht ausnahmslos: Artikel 9 Absatz 2 enthält verschiedene Voraussetzungen, unter denen eine Verarbeitung zulässig sein kann.

Wichtige Ausnahmen vom Verbot

Eine Verarbeitung kann unter anderem erlaubt sein, wenn eine der folgenden Bedingungen erfüllt ist:

• Ausdrückliche Einwilligung: Die betroffene Person hat ausdrücklich in die Verarbeitung für einen oder mehrere bestimmte Zwecke eingewilligt. Die Einwilligung muss freiwillig, informiert und nachweisbar sein. In bestimmten Fällen kann nationales Recht die Berufung auf diese Ausnahme einschränken.
• Arbeits- und Sozialrecht: Die Verarbeitung ist erforderlich, um Rechte aus dem Arbeitsrecht oder dem Recht der sozialen Sicherheit und des Sozialschutzes auszuüben oder entsprechende Pflichten zu erfüllen. Dafür muss eine gesetzliche Grundlage bestehen und es müssen geeignete Schutzmaßnahmen vorgesehen sein.
• Lebenswichtige Interessen: Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen Person zu schützen, wenn die betroffene Person aus körperlichen oder rechtlichen Gründen nicht einwilligen kann.
• Offensichtlich öffentlich gemachte Daten: Die betroffene Person hat die Daten offensichtlich selbst öffentlich gemacht. Das bedeutet nicht automatisch, dass jede weitere Nutzung zulässig ist; Zweck, Umfang und Rechtsgrundlage müssen weiterhin geprüft werden.
• Rechtsansprüche: Die Verarbeitung ist für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich oder erfolgt im Rahmen der Rechtspflege.
• Erhebliches öffentliches Interesse: Die Verarbeitung ist auf eine Rechtsgrundlage im Unionsrecht oder im Recht eines Mitgliedstaats gestützt, verfolgt ein erhebliches öffentliches Interesse und ist verhältnismäßig. Das Gesetz muss angemessene Schutzmaßnahmen vorsehen.
• Gesundheits- und Sozialversorgung: Die Verarbeitung ist beispielsweise für die medizinische Diagnose, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich erforderlich. Sie muss auf einer gesetzlichen Grundlage beruhen und unter Verantwortung einer Person erfolgen, die einer beruflichen Verschwiegenheitspflicht unterliegt, oder durch eine andere gesetzlich zur Vertraulichkeit verpflichtete Stelle.
• Öffentliche Gesundheit: Eine Verarbeitung kann aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit zulässig sein, etwa zum Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren. Dafür sind gesetzliche Grundlagen und geeignete Schutzmaßnahmen erforderlich.
• Archivierung, Forschung und Statistik: Unter bestimmten Voraussetzungen kann die Verarbeitung für wissenschaftliche oder historische Forschungszwecke, statistische Zwecke oder Archivzwecke im öffentlichen Interesse zulässig sein. Artikel 89 DSGVO verlangt dabei geeignete Garantien und Schutzmaßnahmen.

Artikel 9 ist nicht die einzige Voraussetzung

Eine Ausnahme nach Artikel 9 allein genügt in der Regel nicht. Verantwortliche müssen zusätzlich eine Rechtsgrundlage nach Artikel 6 DSGVO haben und die übrigen Datenschutzgrundsätze einhalten. Dazu zählen insbesondere Zweckbindung, Datenminimierung, Transparenz, Speicherbegrenzung und Datensicherheit. Auch die Rechte der betroffenen Personen sind zu berücksichtigen.

Je nach Art und Umfang der Verarbeitung können zusätzliche Pflichten gelten. Dazu gehören etwa eine Datenschutz-Folgenabschätzung, besondere technische und organisatorische Maßnahmen oder die Prüfung, ob eine Datenschutzbeauftragte beziehungsweise ein Datenschutzbeauftragter zu benennen ist.

Praktische Prüffragen für Unternehmen und Organisationen

1. Verarbeitet die Organisation tatsächlich Daten aus einer der besonderen Kategorien – auch mittelbar oder durch Schlussfolgerungen?
2. Ist die Verarbeitung für einen klar festgelegten Zweck notwendig?
3. Welche Ausnahme nach Artikel 9 Absatz 2 kommt in Betracht, und gibt es dafür eine passende Rechtsgrundlage nach Artikel 6?
4. Sind die betroffenen Personen verständlich über die Verarbeitung informiert?
5. Werden Zugriff, Aufbewahrungsdauer und Weitergabe auf das notwendige Maß beschränkt?
6. Sind angemessene Sicherheits- und Schutzmaßnahmen eingerichtet und dokumentiert?

Abgrenzung zu Daten über Straftaten

Informationen über strafrechtliche Verurteilungen und Straftaten fallen nicht unter die in Artikel 9 genannten besonderen Kategorien. Für sie gelten eigene Regeln, insbesondere Artikel 10 DSGVO und ergänzende Vorschriften des jeweiligen nationalen Rechts.

Fazit

Artikel 9 DSGVO setzt für die Verarbeitung besonders sensibler Daten hohe Anforderungen. Wer solche Daten nutzen möchte, sollte zunächst genau bestimmen, welche Informationen betroffen sind, und anschließend sowohl eine Ausnahme nach Artikel 9 als auch eine Rechtsgrundlage nach Artikel 6 prüfen. Klare Zwecke, Datenminimierung und wirksame Schutzmaßnahmen sind dabei zentral. Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche Beratung im Einzelfall.