Art. 9 DSGVO: Besondere Kategorien personenbezogener Daten

Art. 9 DSGVO verbietet die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich. Zulässig wird sie nur, wenn eine Ausnahme aus Art. 9 Abs. 2 greift und die allgemeinen Datenschutzanforderungen erfüllt sind. In der Praxis braucht die Verarbeitung deshalb regelmäßig eine Rechtsgrundlage nach Art. 6 und zusätzlich eine passende Ausnahme nach Art. 9 Abs. 2; mehrere Ausnahmen setzen außerdem eine konkrete unionsrechtliche oder nationale Regelung und besondere Garantien voraus.

Kernaussagen

Geschlossene Kategorien: Art. 9 Abs. 1 schützt unter anderem Gesundheits-, genetische und bestimmte biometrische Daten sowie Angaben zu Herkunft, Überzeugungen, Gewerkschaft und Sexualität.
Zweistufige Rechtsprüfung: Ein berechtigtes Interesse nach Art. 6 allein überwindet das Verbot aus Art. 9 nicht.
Einwilligung ist nur eine Option: Art. 9 Abs. 2 enthält zehn unterschiedliche Ausnahmen mit jeweils eigenen Voraussetzungen.
Nicht jedes Foto ist biometrisch: Erst eine spezifische technische Verarbeitung zur eindeutigen Identifizierung oder Bestätigung der Identität fällt als biometrisches Datum unter Art. 9.
Öffentlich auffindbar ist nicht automatisch öffentlich gemacht: Art. 9 Abs. 2 Buchst. e verlangt ein offenkundiges Öffentlichmachen durch die betroffene Person selbst.
Schutzmaßnahmen sind fallbezogen: Zugriff, Verschlüsselung, Pseudonymisierung, Protokollierung, Löschfristen und gegebenenfalls eine DSFA müssen zum Risiko passen.

Welche Daten fallen unter Art. 9 DSGVO?

Art. 9 Abs. 1 nennt personenbezogene Daten, aus denen folgende Merkmale hervorgehen, sowie bestimmte ausdrücklich definierte Datenarten:

rassische oder ethnische Herkunft
politische Meinungen
religiöse oder weltanschauliche Überzeugungen
Gewerkschaftszugehörigkeit
genetische Daten
biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person
Gesundheitsdaten
Daten zum Sexualleben
Daten zur sexuellen Orientierung

Die gesetzliche Formulierung „aus denen … hervorgehen“ erfasst nicht nur ausdrückliche Angaben. Auch Kombinationen, Bewertungen oder Schlussfolgerungen können besondere Kategorien offenbaren. Der EuGH hat in C-184/20 bestätigt, dass Informationen, aus denen sich sensible Merkmale mittelbar ableiten lassen, unter Art. 9 fallen können.

Strafrechtliche Daten gehören nicht zu Art. 9

Personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten werden gesondert durch Art. 10 DSGVO geregelt. Sie sind nicht einfach eine weitere Art.-9-Kategorie. Ihre Verarbeitung braucht eine Grundlage nach Art. 6 und muss unter behördlicher Aufsicht erfolgen oder durch Unions- beziehungsweise Mitgliedstaatenrecht mit geeigneten Garantien erlaubt sein.

Wichtige Begriffe richtig abgrenzen

Gesundheitsdaten

Gesundheitsdaten beziehen sich auf die körperliche oder geistige Gesundheit einschließlich erbrachter Gesundheitsleistungen und lassen Informationen über den Gesundheitszustand erkennen. Dazu können Diagnosen, Laborwerte, Medikation, Behinderungen oder Angaben zu Erkrankungen zählen. Auch indirekte Informationen können Gesundheitsbezug haben, wenn sie einen entsprechenden Rückschluss ermöglichen.

Genetische Daten

Genetische Daten betreffen ererbte oder erworbene genetische Eigenschaften und liefern eindeutige Informationen über Physiologie oder Gesundheit. Typische Quellen sind insbesondere Analysen biologischer Proben.

Biometrische Daten

Art. 4 Nr. 14 verlangt eine spezifische technische Verarbeitung körperlicher, physiologischer oder verhaltenstypischer Merkmale, die eine eindeutige Identifizierung ermöglicht oder bestätigt. Deshalb gilt:

Ein normales Bewerbungs- oder Profilfoto ist nicht allein wegen des Gesichts automatisch ein biometrisches Datum nach Art. 9.
Wird das Bild durch Gesichtserkennung in ein Template umgewandelt und zur eindeutigen Zuordnung oder Authentifizierung genutzt, liegt regelmäßig biometrische Verarbeitung im Sinne der Definition vor.
Fingerabdruck-, Iris- oder Stimmerkennung fallen nur dann unter die besondere Kategorie, wenn die gesetzlichen Identifizierungsmerkmale erfüllt sind.

Das Ausgangsbild bleibt unabhängig davon ein personenbezogenes Datum und unterliegt den allgemeinen DSGVO-Regeln.

Warum braucht es Art. 6 und Art. 9?

Art. 9 Abs. 2 hebt das besondere Verbot für einen genau bestimmten Fall auf. Er ersetzt nicht die allgemeine Prüfung der Rechtmäßigkeit. Für jede Verarbeitung sollten deshalb getrennt dokumentiert werden:

Zweck und Erforderlichkeit der Verarbeitung
Rechtsgrundlage nach Art. 6 Abs. 1
Ausnahme nach Art. 9 Abs. 2
gegebenenfalls die konkrete unionsrechtliche oder nationale Norm, auf die die Ausnahme verweist
geeignete und besondere Garantien sowie weitere DSGVO-Pflichten

Beispiel: „berechtigtes Interesse an Betrugsprävention“ beantwortet nur einen Teil der Prüfung. Wenn dafür Gesundheitsdaten oder biometrische Identifizierung verarbeitet werden, muss zusätzlich eine passende Ausnahme aus Art. 9 Abs. 2 vorliegen. Gibt es keine, ist die Verarbeitung trotz eines denkbaren Interesses nicht zulässig.

Die zehn Ausnahmen des Art. 9 Abs. 2

Buchstabe	Ausnahme	Zentrale Grenzen
a	ausdrückliche Einwilligung	konkret, informiert, freiwillig, nachweisbar und widerruflich; Unions- oder Mitgliedstaatenrecht kann eine Aufhebung des Verbots durch Einwilligung ausschließen
b	Arbeitsrecht, soziale Sicherheit und Sozialschutz	erforderlich und durch Recht oder einen Kollektivvertrag mit geeigneten Garantien zugelassen
c	lebenswichtige Interessen	betroffene oder andere Person ist körperlich oder rechtlich außerstande einzuwilligen
d	legitime Tätigkeiten bestimmter nicht gewinnorientierter Organisationen	politische, weltanschauliche, religiöse oder gewerkschaftliche Ausrichtung; geeignete Garantien, begrenzter Personenkreis und keine externe Offenlegung ohne Einwilligung
e	von der betroffenen Person offenkundig öffentlich gemachte Daten	aktives, eindeutiges Öffentlichmachen durch die Person; kein Freibrief für beliebige Weiterverarbeitung
f	Rechtsansprüche und justizielle Tätigkeit	erforderlich für Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder Tätigkeit der Gerichte
g	erhebliches öffentliches Interesse	Grundlage im Unions- oder Mitgliedstaatenrecht, Verhältnismäßigkeit, Wesensgehaltswahrung und spezifische Schutzmaßnahmen
h	Vorsorge, Arbeitsmedizin, Diagnostik, Gesundheits- oder Sozialversorgung und Verwaltung entsprechender Systeme und Dienste	Grundlage im Recht oder Vertrag mit einem Angehörigen eines Gesundheitsberufs und zusätzliche Geheimhaltung nach Art. 9 Abs. 3
i	öffentliches Interesse im Bereich der öffentlichen Gesundheit	gesetzliche Grundlage und angemessene spezifische Maßnahmen, insbesondere Berufsgeheimnis
j	öffentliche Archivzwecke, Forschung und Statistik	gesetzliche Grundlage, Verhältnismäßigkeit und Garantien nach Art. 89 Abs. 1

Die Buchstaben sind keine frei kombinierbaren Schlagworte. Bei den gesetzesgebundenen Ausnahmen muss die herangezogene Norm den konkreten Zweck und die erforderlichen Garantien tatsächlich tragen.

Ausdrückliche Einwilligung: höherer Nachweis, aber kein Allheilmittel

Eine Einwilligung nach Art. 9 Abs. 2 Buchst. a muss ausdrücklich sein. Die allgemeinen Bedingungen aus Art. 4 Nr. 11 und Art. 7 gelten zusätzlich. Der Verantwortliche sollte belegen können:

welche besonderen Daten für welche bestimmten Zwecke erfasst werden;
dass die Person eine echte Wahl hatte;
wie die eindeutige bestätigende Handlung erfolgte;
welche Folgen der Widerruf hat und wie einfach er möglich ist;
wie die Einwilligung versioniert und nachgewiesen wird.

„Ausdrücklich“ bedeutet nicht zwingend Papier und Unterschrift. Eine geeignete elektronische Erklärung kann genügen. Stillschweigen, vorangekreuzte Felder oder eine bloß konkludente Handlung reichen dagegen nicht.

Besonders im Beschäftigungsverhältnis oder bei notwendigen Leistungen ist die Freiwilligkeit kritisch zu prüfen. Einwilligung sollte nicht eingesetzt werden, wenn die Verarbeitung tatsächlich verpflichtend ist oder ohne erhebliche Nachteile kaum abgelehnt werden kann.

Öffentlich zugängliche Daten sind nicht frei verwendbar

Art. 9 Abs. 2 Buchst. e greift nur, wenn die betroffene Person die besonderen Daten offenkundig selbst öffentlich gemacht hat. Dass Daten über Suchmaschinen, Register, Profile oder fremde Veröffentlichungen erreichbar sind, beweist das nicht.

Selbst wenn Buchstabe e anwendbar ist, bleiben unter anderem zu prüfen:

Rechtsgrundlage nach Art. 6
Zweckbindung und Vereinbarkeit einer Weiterverarbeitung
Transparenzpflichten, insbesondere bei indirekter Erhebung
Datenminimierung, Richtigkeit und Speicherbegrenzung
Widerspruchs- und sonstige Betroffenenrechte
Risiken aus Profilbildung, Zusammenführung und Weitergabe

Ein öffentliches Profil ist daher keine pauschale Zustimmung zu Scraping, Scoring oder sensibler Segmentierung.

Nationale Grundlagen und § 22 BDSG

Mehrere Ausnahmen in Art. 9 Abs. 2 verlangen oder erlauben eine Konkretisierung durch Unions- oder Mitgliedstaatenrecht. In Deutschland enthält § 22 BDSG Grundlagen für bestimmte Verarbeitungen, etwa im Bereich sozialer Sicherung, Gesundheitsversorgung, öffentlicher Gesundheit oder erheblichen öffentlichen Interesses.

§ 22 Abs. 2 verlangt angemessene und spezifische Maßnahmen zur Wahrung der Interessen betroffener Personen. Als mögliche Maßnahmen nennt das Gesetz unter anderem:

technisch-organisatorische Sicherung der DSGVO-Grundsätze
Maßnahmen zur nachträglichen Kontrolle von Eingabe, Veränderung und Entfernung
Sensibilisierung der beteiligten Personen
Benennung einer oder eines Datenschutzbeauftragten
Beschränkung des Zugangs und der Weitergabe
Pseudonymisierung und Verschlüsselung
Wiederherstellbarkeit, Zuverlässigkeit und regelmäßige Überprüfung der Sicherheit
spezifische Verfahrensregeln bei einer Übermittlung oder Zweckänderung

§ 22 BDSG ist keine allgemeine Erlaubnis für jede Verarbeitung besonderer Daten. Der konkrete Tatbestand, die Erforderlichkeit und alle Spezialgesetze des jeweiligen Bereichs müssen zusammen geprüft werden.

Welche Schutzmaßnahmen sind angemessen?

Art.-9-Daten erhöhen häufig das Schadens- und Diskriminierungsrisiko. Das Schutzniveau muss aus einer dokumentierten Risikobewertung folgen, nicht aus einer starren Maßnahmenliste.

Typische Kontrollen sind:

strikte rollen- und aufgabenbezogene Zugriffe
starke Authentifizierung für privilegierte und sensible Zugänge
Verschlüsselung bei Übertragung und Speicherung, wo risikogerecht
Pseudonymisierung und Trennung von Zuordnungsschlüsseln
nachvollziehbare Zugriffs- und Änderungsprotokolle
kurze, begründete Speicherfristen und zuverlässige Löschung
Regeln gegen unkontrollierte Exporte und lokale Kopien
sichere Übermittlungswege und geprüfte Empfänger
gezielte Vertraulichkeits- und Fachschulungen
Vorfallprozesse, die die besondere Sensibilität berücksichtigen

Pseudonymisierung senkt Risiken, nimmt die Daten aber nicht aus der DSGVO. Auch Verschlüsselung ersetzt keine Rechtsgrundlage.

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Nicht jede einzelne Verarbeitung besonderer Kategorien löst automatisch eine DSFA aus. Art. 35 Abs. 3 Buchst. b nennt jedoch die umfangreiche Verarbeitung besonderer Kategorien als Fall, in dem eine DSFA erforderlich ist. Außerdem kann sich ein voraussichtlich hohes Risiko aus Art, Umfang, Umständen und Zwecken oder aus mehreren Risikofaktoren ergeben.

Zu prüfen sind insbesondere:

Zahl und Schutzbedürftigkeit betroffener Personen
Datenvolumen, Detailtiefe und Verknüpfbarkeit
Dauer, Regelmäßigkeit und räumliche Reichweite
neue Technologien, Überwachung oder automatisierte Bewertungen
Zugriffs- und Empfängerkreis einschließlich Drittländern
mögliche Folgen von Fehlentscheidung, Offenlegung oder Diskriminierung

Starre Personenschwellen für eine DSFA stehen nicht in der DSGVO. Maßgeblich sind die gesetzliche Risikoprüfung und die einschlägigen Listen der zuständigen Aufsichtsbehörden.

Praxisprozess für Art.-9-Verarbeitungen

1. Daten und Ableitungen erkennen

Erfassen Sie nicht nur offensichtliche Felder wie „Diagnose“, sondern auch Freitext, Anhänge, Modelle, Scores und Kombinationen, die besondere Merkmale offenbaren.

2. Zweck eng bestimmen

„Personalverwaltung“, „Forschung“ oder „Sicherheit“ ist meist zu breit. Zweck und notwendiger Datenumfang müssen eine Erforderlichkeitsprüfung ermöglichen.

3. Doppelte Rechtsprüfung dokumentieren

Ordnen Sie jedem Zweck eine Art.-6-Grundlage und eine Art.-9-Ausnahme zu. Wo die Ausnahme ein Gesetz verlangt, ist die konkrete Norm aufzunehmen.

4. Erforderlichkeit und Alternativen prüfen

Kann der Zweck ohne besondere Daten, mit geringerer Genauigkeit oder lokal statt zentral erreicht werden? Gerade bei Biometrie und Profilbildung ist diese Frage entscheidend.

5. Garantien umsetzen

Zugriff, Trennung, Verschlüsselung, Protokollierung, Löschung, Dienstleister und Übermittlungen sind entlang des Risikos zu gestalten.

6. Transparenz und Rechte ermöglichen

Betroffene müssen verständlich erfahren, welche besonderen Daten warum verarbeitet werden. Anfragen dürfen nicht an uneindeutigen Verantwortlichkeiten zwischen Fachbereich, Plattform und Dienstleister scheitern.

7. Risiko und Änderungen überwachen

Prüfen Sie DSFA-Pflicht, Sicherheitsmaßnahmen und Rechtsgrundlagen bei neuen Datenquellen, Modellfunktionen, Empfängern oder Zwecken erneut.

Häufige Fehlannahmen

„Art. 9 betrifft jede persönliche Information“: Die Vorschrift hat bestimmte Kategorien; andere Daten bleiben dennoch nach der DSGVO geschützt.
„Jedes Gesichtsfoto ist biometrisch“: Erforderlich ist die spezifische technische Verarbeitung zur eindeutigen Identifizierung oder Bestätigung.
„Berechtigtes Interesse reicht“: Eine Art.-6-Grundlage ersetzt keine Ausnahme nach Art. 9 Abs. 2.
„Nur ausdrückliche Einwilligung erlaubt sensible Daten“: Art. 9 Abs. 2 enthält neun weitere Ausnahmen.
„Im Internet gefunden heißt offenkundig öffentlich gemacht“: Entscheidend ist das bewusste öffentliche Handeln der betroffenen Person.
„§ 22 BDSG erlaubt Gesundheitsdaten allgemein“: Die Norm hat konkrete Zwecke, Erforderlichkeitsgrenzen und Schutzanforderungen.
„Pseudonymisiert heißt anonym“: Solange eine Zuordnung möglich ist, bleibt die DSGVO anwendbar.
„Art.-9-Daten bedeuten immer DSFA“: Die Pflicht folgt aus dem voraussichtlich hohen Risiko oder ausdrücklich aus umfangreicher Verarbeitung, nicht allein aus dem Etikett.
„Straftaten sind Gesundheits- oder sonstige Art.-9-Daten“: Dafür gilt Art. 10 als eigene Regelung.

FAQ

Sind Krankmeldungen Gesundheitsdaten?

Angaben, aus denen sich ein gesundheitlicher Zustand oder eine Arbeitsunfähigkeit ergibt, können Gesundheitsdaten sein. Zweck, Datenumfang, Art.-6-Grundlage, Art.-9-Ausnahme und arbeitsrechtliche Spezialnormen sind gemeinsam zu prüfen.

Kann eine ausdrückliche Einwilligung elektronisch erteilt werden?

Ja. Sie muss nicht zwingend handschriftlich erfolgen, aber eindeutig, ausdrücklich, informiert, freiwillig und nachweisbar sein. Der Widerruf muss so einfach wie die Erteilung sein.

Ist die Gewerkschaftszugehörigkeit immer besonders geschützt?

Ja, sie ist ausdrücklich in Art. 9 Abs. 1 genannt. Ob ihre Verarbeitung zulässig ist, hängt von einer passenden Ausnahme und den übrigen DSGVO-Voraussetzungen ab.

Sind anonymisierte Gesundheitsstatistiken noch Art.-9-Daten?

Nur wenn die Anonymisierung tatsächlich verhindert, dass Personen mit vernünftigerweise einsetzbaren Mitteln identifiziert werden. Pseudonymisierte Datensätze bleiben personenbezogene und regelmäßig besondere Daten.

Darf ein Arbeitgeber biometrische Zeiterfassung einsetzen?

Nicht allein, weil das System praktisch ist. Erforderlich sind eine passende Art.-6-Grundlage, eine Art.-9-Ausnahme, Erforderlichkeit und Verhältnismäßigkeit, eine Prüfung weniger eingriffsintensiver Alternativen sowie angemessene Garantien und gegebenenfalls eine DSFA.

Unterstützung bei sensiblen Datenverarbeitungen

Wir unterstützen bei Klassifizierung, doppelter Rechtsgrundlagenprüfung, DSFA und Schutzkonzept. Mehr dazu finden Sie unter Datenschutz-Beratung.

Quellen und Prüfung

Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:

PASSENDE LEISTUNG

Datenschutz-Beratung→

KOSTENLOSES TOOL

DSGVO-Reifegrad-Bewertung→

ÜBER DEN AUTOR

Robert Lozo

Partner · CIPP/E · CIPM · CISM

Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.