Besondere Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten sind Informationen, die wegen ihrer hohen Sensibilität einem besonders strengen Schutz unterliegen. Art. 9 Abs 1 DSGVO erfasst Daten, aus denen etwa die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen. Dazu kommen genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung.

Die Verarbeitung solcher Daten ist grundsätzlich untersagt. Sie kann nur zulässig sein, wenn neben einer passenden Rechtsgrundlage nach Art. 6 DSGVO auch eine Ausnahme nach Art. 9 Abs 2 DSGVO greift. Dazu zählen je nach Sachverhalt beispielsweise eine ausdrückliche Einwilligung, bestimmte Pflichten im Arbeits- und Sozialrecht, der Schutz lebenswichtiger Interessen oder ein erhebliches öffentliches Interesse. Eine bloße Bezeichnung als „Score“, „Segment“ oder „Merkmal“ entscheidet nicht: Auch abgeleitete Informationen können erfasst sein, wenn sie einer Person zugeordnet werden und eine geschützte Aussage über sie treffen.

Für Unternehmen kommt es deshalb auf den gesamten Datenfluss an, von der Erhebung über eine mögliche Ableitung bis zur Nutzung und Weitergabe. Zweck, Datenquelle, Empfänger, Zugriff, Löschung und die dokumentierte Prüfung der Voraussetzungen gehören zusammen. Bei Marketing, Profiling oder neuen digitalen Anwendungen ist die Einordnung mit der Prüfung von Marketing, Cookies und Tracking sowie der Datenschutz-Governance zu verbinden.