Besondere Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten sind besonders schutzbedürftige Informationen über natürliche Personen, deren Verarbeitung zusätzlichen datenschutzrechtlichen Anforderungen unterliegt. Dazu gehören beispielsweise Gesundheitsdaten, Angaben zur religiösen Überzeugung, genetische Daten und biometrische Daten zur eindeutigen Identifizierung. Art. 9 Abs. 1 DS-GVO sieht für diese Daten ein grundsätzliches Verarbeitungsverbot vor. Eine Verarbeitung ist nur zulässig, wenn eine gesetzliche Ausnahme greift und die weiteren datenschutzrechtlichen Voraussetzungen erfüllt sind.

Welche Daten gehören zu den besonderen Kategorien personenbezogener Daten?

Art. 9 Abs. 1 DS-GVO legt fest, welche personenbezogenen Daten einem besonderen Schutz unterliegen.

Dazu gehören:

• Rassische und ethnische Herkunft
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische Daten
• Biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person
• Gesundheitsdaten
• Daten zum Sexualleben oder zur sexuellen Orientierung

Die besondere Schutzbedürftigkeit ergibt sich daraus, dass eine unzulässige Verarbeitung dieser Daten erhebliche Auswirkungen auf die Privatsphäre und die Grundrechte betroffener Personen haben kann.

Nicht jede vertrauliche Information gehört automatisch zu den besonderen Kategorien nach Art. 9 DS-GVO. Beispielsweise sind Bankverbindungen oder Einkommensdaten grundsätzlich keine besonderen Kategorien personenbezogener Daten, obwohl auch sie schutzbedürftig sein können.

Unter welchen Voraussetzungen dürfen besondere Kategorien personenbezogener Daten verarbeitet werden?

Nach Art. 9 Abs. 1 DS-GVO ist die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich untersagt.

Art. 9 Abs. 2 DS-GVO enthält jedoch Ausnahmen, unter deren Voraussetzungen eine Verarbeitung zulässig sein kann.

Dazu gehören insbesondere:

• Ausdrückliche Einwilligung: Die betroffene Person hat ausdrücklich in die Verarbeitung für einen oder mehrere festgelegte Zwecke eingewilligt.
• Arbeits- und Sozialrecht: Die Verarbeitung ist unter den gesetzlichen Voraussetzungen zur Erfüllung von Pflichten oder zur Ausübung besonderer Rechte im Bereich des Arbeitsrechts, der sozialen Sicherheit oder des Sozialschutzes erforderlich.
• Lebenswichtige Interessen: Die Verarbeitung ist zum Schutz lebenswichtiger Interessen erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben.
• Rechtsansprüche: Die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder im Rahmen gerichtlicher Tätigkeiten erforderlich.
• Gesundheitsversorgung: Die Verarbeitung ist unter den gesetzlichen Voraussetzungen insbesondere für medizinische Diagnosen, Behandlungen oder die Verwaltung von Gesundheitssystemen erforderlich.
• Erhebliches öffentliches Interesse: Eine gesetzliche Grundlage erlaubt die Verarbeitung unter Beachtung der erforderlichen Schutzmaßnahmen.

Weitere Ausnahmen bestehen beispielsweise für bestimmte Tätigkeiten gemeinnütziger Organisationen, offensichtlich öffentlich gemachte Daten sowie gesetzlich geregelte Forschungs- und Statistikzwecke.

Neben einer Ausnahme nach Art. 9 Abs. 2 DS-GVO muss grundsätzlich auch eine geeignete Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO vorliegen.

Die Erfüllung einer Ausnahme des Art. 9 DS-GVO allein genügt daher nicht in jedem Fall, um eine Datenverarbeitung zu rechtfertigen.

Welche besonderen Datenschutzanforderungen müssen Unternehmen beachten?

Unternehmen müssen bei der Verarbeitung besonderer Kategorien personenbezogener Daten sowohl die allgemeinen Anforderungen der DS-GVO als auch die zusätzlichen Voraussetzungen des Art. 9 DS-GVO einhalten.

Nach Art. 5 DS-GVO gelten insbesondere die Grundsätze der Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertraulichkeit.

Darüber hinaus müssen Verantwortliche nach Art. 32 DS-GVO geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau sicherzustellen.

Hierzu können insbesondere gehören:

• Beschränkung des Datenzugriffs auf berechtigte Personen
• Verschlüsselung besonders schutzbedürftiger Informationen
• Festlegung angemessener Aufbewahrungs- und Löschfristen
• Protokollierung und Kontrolle von Datenzugriffen
• Regelmäßige Überprüfung der eingesetzten Sicherheitsmaßnahmen
• Schulung von Beschäftigten im Umgang mit sensiblen personenbezogenen Daten

Welche Maßnahmen erforderlich sind, richtet sich nach den konkreten Risiken der jeweiligen Verarbeitung.

Nach Art. 35 DS-GVO kann außerdem eine Datenschutz-Folgenabschätzung erforderlich sein. Dies gilt insbesondere bei einer umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten, wenn die gesetzlichen Voraussetzungen erfüllt sind.

Unternehmen sollten deshalb bereits vor Beginn der Verarbeitung prüfen, welche Schutzmaßnahmen erforderlich sind und ob zusätzliche gesetzliche Pflichten bestehen.

Welche Besonderheiten gelten bei Gesundheitsdaten und Beschäftigtendaten?

Gesundheitsdaten gehören nach Art. 9 Abs. 1 DS-GVO zu den besonders geschützten personenbezogenen Daten.

Dazu zählen beispielsweise ärztliche Befunde, Diagnosen, Untersuchungsergebnisse und andere Informationen, die Rückschlüsse auf den Gesundheitszustand einer Person ermöglichen.

Für ihre Verarbeitung können insbesondere die Ausnahmen des Art. 9 Abs. 2 lit. h DS-GVO im Bereich der Gesundheitsversorgung relevant sein. Dabei sind auch die Anforderungen des Art. 9 Abs. 3 DS-GVO zu beachten, insbesondere hinsichtlich der beruflichen Geheimhaltung.

Auch Unternehmen verarbeiten im Beschäftigungsverhältnis unter bestimmten Umständen besondere Kategorien personenbezogener Daten.

Dies betrifft beispielsweise Gesundheitsinformationen im Zusammenhang mit Arbeitsunfähigkeit oder Angaben zur Gewerkschaftszugehörigkeit.

Für die Verarbeitung solcher Daten können insbesondere Art. 9 Abs. 2 lit. b DS-GVO und ergänzende nationale Vorschriften relevant sein. Im deutschen Beschäftigtendatenschutz kommt dabei auch § 26 Abs. 3 BDSG in Betracht, dessen Anwendbarkeit im Lichte der unionsrechtlichen Anforderungen und der Rechtsprechung des Europäischen Gerichtshofs zu prüfen ist.

Eine Verarbeitung ist jedoch nicht allein deshalb zulässig, weil die Daten für den Arbeitgeber von Interesse sind.

Unternehmen müssen vielmehr prüfen, ob die Verarbeitung für einen rechtlich zulässigen Zweck erforderlich ist und die einschlägigen gesetzlichen Voraussetzungen eingehalten werden.

Welche Folgen kann eine unzulässige Verarbeitung besonderer Kategorien personenbezogener Daten haben?

Werden besondere Kategorien personenbezogener Daten ohne ausreichende Rechtsgrundlage oder unter Verstoß gegen die Anforderungen der DS-GVO verarbeitet, können unterschiedliche rechtliche Folgen entstehen.

Datenschutzaufsichtsbehörden können nach Art. 58 DS-GVO insbesondere Untersuchungen durchführen, die Einschränkung oder Beendigung einer Verarbeitung anordnen und unter den gesetzlichen Voraussetzungen Geldbußen verhängen.

Für Verstöße gegen die grundlegenden Verarbeitungsanforderungen der Art. 5, 6 und 9 DS-GVO sieht Art. 83 Abs. 5 DS-GVO einen erhöhten Bußgeldrahmen vor.

Dieser beträgt bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Die tatsächliche Höhe einer Geldbuße richtet sich nach den Umständen des Einzelfalls.

Darüber hinaus können betroffene Personen unter den Voraussetzungen des Art. 82 DS-GVO Schadensersatz verlangen, wenn ihnen durch einen Verstoß gegen die DS-GVO ein materieller oder immaterieller Schaden entstanden ist.

Nicht jeder Datenschutzverstoß führt automatisch zu einer Geldbuße oder einem Schadensersatzanspruch.

Praxisbeispiel: Verarbeitung von Gesundheitsdaten im Unternehmen

Ein Unternehmen beschäftigt mehrere Arbeitnehmer und erhält im Zusammenhang mit krankheitsbedingten Fehlzeiten Informationen über deren Arbeitsunfähigkeit.

Die Personalabteilung benötigt bestimmte Angaben, um Entgeltfortzahlungsansprüche zu prüfen und gesetzliche Pflichten zu erfüllen.

Da Informationen über die Arbeitsunfähigkeit Rückschlüsse auf den Gesundheitszustand ermöglichen können, handelt es sich um besonders geschützte personenbezogene Daten.

Das Unternehmen muss deshalb prüfen, auf welcher Rechtsgrundlage die erforderlichen Informationen verarbeitet werden dürfen und welche Ausnahme nach Art. 9 Abs. 2 DS-GVO einschlägig ist.

Dabei dürfen grundsätzlich nur diejenigen Gesundheitsinformationen verarbeitet werden, die für den jeweiligen rechtmäßigen Zweck erforderlich sind.

Eine pauschale Erhebung medizinischer Diagnosen ist für die gewöhnliche Bearbeitung von Arbeitsunfähigkeitszeiten regelmäßig nicht erforderlich.

Außerdem muss das Unternehmen sicherstellen, dass ausschließlich berechtigte Personen Zugriff auf die entsprechenden Informationen erhalten.

legal data Einschätzung: Unternehmen sollten bei der Verarbeitung besonderer Kategorien personenbezogener Daten besonders sorgfältig prüfen, welche Informationen tatsächlich benötigt werden und auf welche gesetzlichen Grundlagen die Verarbeitung gestützt werden kann. Neben der Einhaltung der Voraussetzungen des Art. 9 DS-GVO sind insbesondere klare Zugriffsberechtigungen, angemessene Sicherheitsmaßnahmen und nachvollziehbare interne Prozesse entscheidend. Eine frühzeitige datenschutzrechtliche Prüfung hilft, unzulässige Verarbeitungen und damit verbundene rechtliche Risiken zu vermeiden.

Rechtsgrundlagen

Art. 4 Nr. 13–15 DS-GVO

Art. 5 DS-GVO

Art. 6 DS-GVO

Art. 9 DS-GVO

Art. 32 DS-GVO

Art. 35 DS-GVO

Art. 58 DS-GVO

Art. 82 DS-GVO

Art. 83 DS-GVO

ergänzend insbesondere § 22 BDSG sowie § 26 Abs. 3 BDSG, soweit dessen Anwendbarkeit und die jeweiligen gesetzlichen Voraussetzungen gegeben sind