Besondere Kategorien personenbezogener Daten („sensitive Daten“)
Art. 9 DSGVO
Einige personenbezogene Daten bedürfen aufgrund ihrer Sensitivität unabhängig von den konkreten Umständen und Anlässen ihrer Verarbeitung eines gesteigerten Schutzes. Diese Daten wurden vom Gesetzgeber etwas schwerfällig, aber durchaus zutreffend, als „besondere Arten personenbezogener Daten“ bezeichnet. Im Rahmen dieser Publikation wird zur besseren Verständlichkeit hierfür nachfolgend auch der Begriff „sensitive Daten“ verwandt.
Die Entscheidung, welche personenbezogenen Daten standardmäßig besonders schutzbedürftig sind, hat der Gesetzgeber an sich gezogen. Sie ist der Phantasie des Rechtsanwenders vollständig entzogen. Das ergibt sich aus der abschließenden Aufzählung des Art. 9 Abs. 1 DSGVO. Demzufolge sind nachstehende Daten als sensitiv zu betrachten:
Angaben über
- die rassische oder ethnische Herkunft,
- politische Meinungen,
- religiöse oder weltanschauliche Überzeugungen,
- Gewerkschaftszugehörigkeit,
- genetische Daten,
- biometrische Daten,
- Gesundheit und
- Sexualleben oder sexuellen Orientierung.
Da diese Liste abschließend ist, können weder von Seiten des Verantwortlichen, noch des Betroffenen über diese Merkmale hinaus weitere Datenkategorien für formal sensitiv erklärt werden. Auffällig an der Aufstellung des Gesetzgebers ist, dass Angaben zu finanziellen oder generell zu Vermögens- oder wirtschaftlichen Verhältnissen zwar personenbezogen, nicht aber sensitiv sind.
Die Verarbeitung besonderer Arten personenbezogener Daten ist vom Gesetzgeber nicht verboten worden, wohl aber an besonders strenge Anforderungen geknüpft. Gleiches gilt für ihre Übermittlung. In diesem Zusammenhang ist insbesondere beachtlich, dass nicht Art. 6 DSGVO, sondern vielmehr Art. 9 Abs. 2 DSGVO Erlaubnistatbestände vorgibt.
Ferner müssen etwaige Einwilligungserklärungen von Betroffenen einen ausdrücklichen Bezug auf das/die betroffenen sensitiven Daten enthalten, um einen wirksamen Erlaubnistatbestand bilden zu können.
Werden besondere Arten personenbezogener Daten Unbefugten bekannt, kann dies Meldepflichten gem. Artt. 33, 34 DSGVO auslösen.