Besondere Datenkategorien (Art. 9 DSGVO)

Definition

Art. 9 Abs. 1 DSGVO definiert “besondere Kategorien personenbezogener Daten”, für die ein strengeres Schutzniveau gilt. Dazu zählen:

• Rassische und ethnische Herkunft
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische Daten
• Biometrische Daten zur eindeutigen Identifizierung
• Gesundheitsdaten
• Daten zum Sexualleben oder der sexuellen Orientierung

Die Verarbeitung solcher Daten ist grundsätzlich verboten. Sie ist nur erlaubt, wenn einer der zehn Ausnahme-Tatbestände aus Art. 9 Abs. 2 greift — etwa ausdrückliche Einwilligung, gesetzliche Pflicht im Arbeitsrecht, lebenswichtige Interessen, Geltendmachung von Rechtsansprüchen.

In der Praxis

Sensible Daten begegnen vielen KMU mehr als gedacht:

• Arztpraxis, Apotheke, Sanitätshaus: Patientendaten = Gesundheitsdaten
• HR-Abteilung: Schwerbehindertenausweis, Schwangerschaftsanzeige, Krankmeldungen
• Fitnessstudios mit Gesundheits-Check
• Personalvermittlung mit Gesundheitsfragen
• Vereine mit Religions-/Konfessionszugehörigkeit
• Sicherheitsdienste mit biometrischen Verfahren
• Diversity-Erhebungen in HR

Bereits eine “kleine” Verarbeitung von Art. 9-Daten kann eine DSB-Pflicht auslösen — unabhängig von der Mitarbeiterzahl.

Was Sie tun müssen

Wenn Sie sensible Daten verarbeiten:

• Prüfen, welcher Ausnahme-Tatbestand aus Art. 9 Abs. 2 greift
• Doppelte Rechtsgrundlage dokumentieren: Art. 6 + Art. 9
• Strengere TOMs einsetzen (Verschlüsselung, restriktive Zugriffsrechte)
• DSFA prüfen — bei umfangreicher Verarbeitung meist Pflicht
• DSB-Pflicht prüfen — siehe Datenschutzbeauftragter Pflicht ab wann
• Spezial-Schulung der zugriffsberechtigten Mitarbeiter

Branchenspezifische Anforderungen für Arztpraxen, Sanitätshäuser und Fitness-Anbieter erläutern wir auf der Branchen-Seite Arztpraxis. Konkrete Festpreise für Praxen mit Art. 9-Verarbeitung in den Preisbeispielen.