Besondere Kategorien personenbezogener Daten
Besondere Kategorien personenbezogener Daten sind besonders sensible Daten nach Art. 9 DSGVO, deren Verarbeitung grundsätzlich verboten ist und nur unter eng gefassten Ausnahmen zulässig ist.
Besondere Kategorien personenbezogener Daten – oft als „sensible Daten“ bezeichnet – sind in Art. 9 Abs. 1 DSGVO abschließend aufgezählt: Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten und Daten zum Sexualleben oder der sexuellen Orientierung. Für diese Datenkategorien gilt ein grundsätzliches Verarbeitungsverbot, weil ihre Offenlegung besonders schwerwiegende Risiken für die Grundrechte und Grundfreiheiten der betroffenen Personen mit sich bringt.
Eine Verarbeitung ist nur zulässig, wenn neben einer allgemeinen Rechtsgrundlage nach Art. 6 DSGVO zusätzlich eine der eng gefassten Ausnahmen des Art. 9 Abs. 2 DSGVO greift. Dazu zählen unter anderem die ausdrückliche Einwilligung der betroffenen Person (lit. a), die Erfüllung arbeits- und sozialrechtlicher Pflichten (lit. b), der Schutz lebenswichtiger Interessen (lit. c), die Verarbeitung durch politische, religiöse oder gewerkschaftliche Organisationen (lit. d), offensichtlich öffentlich gemachte Daten (lit. e), die Geltendmachung von Rechtsansprüchen (lit. f) sowie Gründe des erheblichen öffentlichen Interesses, der Gesundheitsvorsorge oder der wissenschaftlichen Forschung (lit. g bis j). Der nationale Gesetzgeber konkretisiert mehrere dieser Tatbestände, in Deutschland etwa § 22 BDSG und § 26 Abs. 3 BDSG für den Beschäftigungskontext.
Wer sensible Daten verarbeitet, trifft erhöhte Sorgfaltspflichten. In aller Regel sind angemessene und spezifische technische und organisatorische Maßnahmen vorzusehen, häufig ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich, und es gelten strengere Anforderungen an Zweckbindung, Zugriffsbeschränkung und Dokumentation. Verstöße gegen das Verarbeitungsverbot zählen zu den schwerwiegendsten Datenschutzverstößen und können mit Bußgeldern bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden. Strafrechtliche Verurteilungen und Straftaten werden gesondert in Art. 10 DSGVO geregelt und fallen nicht unter Art. 9.
Rechtliche Grundlage
Art. 9 DSGVO; § 22, § 26 Abs. 3 BDSG
Praxisbeispiel
Ein Unternehmen führt im Rahmen des betrieblichen Gesundheitsmanagements eine freiwillige Grippeschutzimpfung durch und möchte die Teilnehmerlisten samt Impfstatus speichern. Da es sich um Gesundheitsdaten handelt, prüft der Datenschutzbeauftragte zunächst die Rechtsgrundlage: Eine ausdrückliche, freiwillige Einwilligung der Beschäftigten nach Art. 9 Abs. 2 lit. a DSGVO ist hier der tragfähigste Weg, weil das Koppelungsverbot und das Machtgefälle im Arbeitsverhältnis eine besonders sorgfältige Ausgestaltung erfordern. Er dokumentiert die Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten, beschränkt den Zugriff auf den Betriebsarzt, legt eine kurze Löschfrist fest und führt eine Datenschutz-Folgenabschätzung durch, bevor die Daten erhoben werden.
Häufige Fragen
So unterstützt preeco Sie
Erfahren Sie, wie unsere Software Sie bei diesem Thema unterstützt.
Mehr erfahren