Was sind besondere Kategorien personenbezogener Daten?

Welche Daten dazugehören

Art. 9 Abs. 1 DSGVO zählt abschließend auf. Erfasst sind Daten, aus denen Folgendes hervorgeht – oder die selbst zu diesen Gruppen gehören:

• rassische und ethnische Herkunft
• politische Meinungen
• religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• genetische Daten
• biometrische Daten zur eindeutigen Identifizierung einer Person
• Gesundheitsdaten
• Daten zum Sexualleben oder zur sexuellen Orientierung

Daten über strafrechtliche Verurteilungen und Straftaten stehen nicht in dieser Liste, sondern in Art. 10 – mit eigenen, ebenfalls strengen Regeln. In Österreich ergänzt § 4 Abs. 3 DSG, wann solche Daten verarbeitet werden dürfen.

Es reicht, wenn etwas „hervorgeht“

Der Wortlaut ist weit: Es genügt, dass sich die sensible Information aus den Daten ergibt. Der EuGH hat 2022 entschieden (C-184/20), dass schon die Veröffentlichung von Angaben, die die sexuelle Orientierung einer Person indirekt offenbaren können – dort der Name des Partners –, eine Verarbeitung besonderer Kategorien ist.

Für Protokolle heißt das: Nicht nur die Diagnose ist ein Gesundheitsdatum. Auch „Herr Wimmer fällt nach seiner Knie-OP bis Ende Mai aus“ verrät etwas über seine Gesundheit. Umgekehrt ist nicht jedes Foto oder jede Stimmaufnahme automatisch sensibel: Biometrisch im Sinne von Art. 9 sind sie erst, wenn sie mit speziellen technischen Verfahren zur eindeutigen Identifizierung ausgewertet werden (Art. 4 Nr. 14, Erwägungsgrund 51).

Verbot mit Ausnahmen

Art. 9 Abs. 1 verbietet die Verarbeitung, Abs. 2 nennt zehn Ausnahmen. Für den Alltag in Unternehmen und Praxen sind vor allem diese wichtig:

• ausdrückliche Einwilligung für festgelegte Zwecke (lit. a) – strenger als die normale Einwilligung
• Arbeits- und Sozialrecht, soweit Gesetz oder Kollektivvereinbarung das erlauben (lit. b) – etwa Krankmeldungen in der Personalverwaltung
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (lit. f)
• Gesundheitsversorgung durch Fachpersonal, das einem Berufsgeheimnis unterliegt (lit. h mit Abs. 3)
• Organisationen ohne Gewinnerzielungsabsicht mit politischer, weltanschaulicher, religiöser oder gewerkschaftlicher Ausrichtung, soweit es um Mitglieder und regelmäßige Kontakte geht und die Daten nicht ohne Einwilligung nach außen gelangen (lit. d)
• Daten, die die betroffene Person offensichtlich selbst öffentlich gemacht hat (lit. e) – etwa ein öffentliches Bekenntnis zu einer Partei auf der eigenen Website

Wichtig: Eine Ausnahme nach Art. 9 ersetzt nicht die Rechtsgrundlage nach Art. 6 – beides muss passen. In Deutschland konkretisiert § 22 BDSG weitere Fälle und verlangt dafür „angemessene und spezifische Maßnahmen“ wie Zugriffsbeschränkungen, Protokollierung oder Pseudonymisierung.

Was daraus praktisch folgt

Wer sensible Daten verarbeitet, hat mehr Pflichten. Die Ausnahme vom Verarbeitungsverzeichnis für Betriebe unter 250 Beschäftigten entfällt, sobald besondere Kategorien im Spiel sind. Bei umfangreicher Verarbeitung nennt Art. 35 Abs. 3 lit. b ausdrücklich die Datenschutz-Folgenabschätzung. Und die technischen und organisatorischen Maßnahmen müssen dem höheren Risiko entsprechen.

Für Gesprächsaufnahmen lohnt eine einfache Frage vorab: Werden hier voraussichtlich Gesundheit, Glaube, Gewerkschaft oder Ähnliches besprochen? Personalgespräche nach längerem Krankenstand, Coachings oder Betriebsratssitzungen sind typische Kandidaten. Dort ist oft die bessere Lösung, gar nicht aufzunehmen oder nur das Ergebnis festzuhalten.