Art. 9 DSGVO: Besondere Kategorien personenbezogener Daten

Welche Daten fallen unter Art. 9 DSGVO?

Art. 9 Abs. 1 nennt personenbezogene Daten, aus denen folgende Merkmale hervorgehen, sowie bestimmte ausdrücklich definierte Datenarten:

• rassische oder ethnische Herkunft
• politische Meinungen
• religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• genetische Daten
• biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person
• Gesundheitsdaten
• Daten zum Sexualleben
• Daten zur sexuellen Orientierung

Die gesetzliche Formulierung „aus denen … hervorgehen“ erfasst nicht nur ausdrückliche Angaben. Auch Kombinationen, Bewertungen oder Schlussfolgerungen können besondere Kategorien offenbaren. Der EuGH hat in C-184/20 bestätigt, dass Informationen, aus denen sich sensible Merkmale mittelbar ableiten lassen, unter Art. 9 fallen können.

Strafrechtliche Daten gehören nicht zu Art. 9

Personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten werden gesondert durch Art. 10 DSGVO geregelt. Sie sind nicht einfach eine weitere Art.-9-Kategorie. Ihre Verarbeitung braucht eine Grundlage nach Art. 6 und muss unter behördlicher Aufsicht erfolgen oder durch Unions- beziehungsweise Mitgliedstaatenrecht mit geeigneten Garantien erlaubt sein.

Wichtige Begriffe richtig abgrenzen

Gesundheitsdaten

Gesundheitsdaten beziehen sich auf die körperliche oder geistige Gesundheit einschließlich erbrachter Gesundheitsleistungen und lassen Informationen über den Gesundheitszustand erkennen. Dazu können Diagnosen, Laborwerte, Medikation, Behinderungen oder Angaben zu Erkrankungen zählen. Auch indirekte Informationen können Gesundheitsbezug haben, wenn sie einen entsprechenden Rückschluss ermöglichen.

Genetische Daten

Genetische Daten betreffen ererbte oder erworbene genetische Eigenschaften und liefern eindeutige Informationen über Physiologie oder Gesundheit. Typische Quellen sind insbesondere Analysen biologischer Proben.

Biometrische Daten

Art. 4 Nr. 14 verlangt eine spezifische technische Verarbeitung körperlicher, physiologischer oder verhaltenstypischer Merkmale, die eine eindeutige Identifizierung ermöglicht oder bestätigt. Deshalb gilt:

• Ein normales Bewerbungs- oder Profilfoto ist nicht allein wegen des Gesichts automatisch ein biometrisches Datum nach Art. 9.
• Wird das Bild durch Gesichtserkennung in ein Template umgewandelt und zur eindeutigen Zuordnung oder Authentifizierung genutzt, liegt regelmäßig biometrische Verarbeitung im Sinne der Definition vor.
• Fingerabdruck-, Iris- oder Stimmerkennung fallen nur dann unter die besondere Kategorie, wenn die gesetzlichen Identifizierungsmerkmale erfüllt sind.

Das Ausgangsbild bleibt unabhängig davon ein personenbezogenes Datum und unterliegt den allgemeinen DSGVO-Regeln.

Warum braucht es Art. 6 und Art. 9?

Art. 9 Abs. 2 hebt das besondere Verbot für einen genau bestimmten Fall auf. Er ersetzt nicht die allgemeine Prüfung der Rechtmäßigkeit. Für jede Verarbeitung sollten deshalb getrennt dokumentiert werden:

1. Zweck und Erforderlichkeit der Verarbeitung
2. Rechtsgrundlage nach Art. 6 Abs. 1
3. Ausnahme nach Art. 9 Abs. 2
4. gegebenenfalls die konkrete unionsrechtliche oder nationale Norm, auf die die Ausnahme verweist
5. geeignete und besondere Garantien sowie weitere DSGVO-Pflichten

Beispiel: „berechtigtes Interesse an Betrugsprävention“ beantwortet nur einen Teil der Prüfung. Wenn dafür Gesundheitsdaten oder biometrische Identifizierung verarbeitet werden, muss zusätzlich eine passende Ausnahme aus Art. 9 Abs. 2 vorliegen. Gibt es keine, ist die Verarbeitung trotz eines denkbaren Interesses nicht zulässig.

Die zehn Ausnahmen des Art. 9 Abs. 2

Die Buchstaben sind keine frei kombinierbaren Schlagworte. Bei den gesetzesgebundenen Ausnahmen muss die herangezogene Norm den konkreten Zweck und die erforderlichen Garantien tatsächlich tragen.

Ausdrückliche Einwilligung: höherer Nachweis, aber kein Allheilmittel

Eine Einwilligung nach Art. 9 Abs. 2 Buchst. a muss ausdrücklich sein. Die allgemeinen Bedingungen aus Art. 4 Nr. 11 und Art. 7 gelten zusätzlich. Der Verantwortliche sollte belegen können:

• welche besonderen Daten für welche bestimmten Zwecke erfasst werden;
• dass die Person eine echte Wahl hatte;
• wie die eindeutige bestätigende Handlung erfolgte;
• welche Folgen der Widerruf hat und wie einfach er möglich ist;
• wie die Einwilligung versioniert und nachgewiesen wird.

„Ausdrücklich“ bedeutet nicht zwingend Papier und Unterschrift. Eine geeignete elektronische Erklärung kann genügen. Stillschweigen, vorangekreuzte Felder oder eine bloß konkludente Handlung reichen dagegen nicht.

Besonders im Beschäftigungsverhältnis oder bei notwendigen Leistungen ist die Freiwilligkeit kritisch zu prüfen. Einwilligung sollte nicht eingesetzt werden, wenn die Verarbeitung tatsächlich verpflichtend ist oder ohne erhebliche Nachteile kaum abgelehnt werden kann.

Öffentlich zugängliche Daten sind nicht frei verwendbar

Art. 9 Abs. 2 Buchst. e greift nur, wenn die betroffene Person die besonderen Daten offenkundig selbst öffentlich gemacht hat. Dass Daten über Suchmaschinen, Register, Profile oder fremde Veröffentlichungen erreichbar sind, beweist das nicht.

Selbst wenn Buchstabe e anwendbar ist, bleiben unter anderem zu prüfen:

• Rechtsgrundlage nach Art. 6
• Zweckbindung und Vereinbarkeit einer Weiterverarbeitung
• Transparenzpflichten, insbesondere bei indirekter Erhebung
• Datenminimierung, Richtigkeit und Speicherbegrenzung
• Widerspruchs- und sonstige Betroffenenrechte
• Risiken aus Profilbildung, Zusammenführung und Weitergabe

Ein öffentliches Profil ist daher keine pauschale Zustimmung zu Scraping, Scoring oder sensibler Segmentierung.

Nationale Grundlagen und § 22 BDSG

Mehrere Ausnahmen in Art. 9 Abs. 2 verlangen oder erlauben eine Konkretisierung durch Unions- oder Mitgliedstaatenrecht. In Deutschland enthält § 22 BDSG Grundlagen für bestimmte Verarbeitungen, etwa im Bereich sozialer Sicherung, Gesundheitsversorgung, öffentlicher Gesundheit oder erheblichen öffentlichen Interesses.

§ 22 Abs. 2 verlangt angemessene und spezifische Maßnahmen zur Wahrung der Interessen betroffener Personen. Als mögliche Maßnahmen nennt das Gesetz unter anderem:

• technisch-organisatorische Sicherung der DSGVO-Grundsätze
• Maßnahmen zur nachträglichen Kontrolle von Eingabe, Veränderung und Entfernung
• Sensibilisierung der beteiligten Personen
• Benennung einer oder eines Datenschutzbeauftragten
• Beschränkung des Zugangs und der Weitergabe
• Pseudonymisierung und Verschlüsselung
• Wiederherstellbarkeit, Zuverlässigkeit und regelmäßige Überprüfung der Sicherheit
• spezifische Verfahrensregeln bei einer Übermittlung oder Zweckänderung

§ 22 BDSG ist keine allgemeine Erlaubnis für jede Verarbeitung besonderer Daten. Der konkrete Tatbestand, die Erforderlichkeit und alle Spezialgesetze des jeweiligen Bereichs müssen zusammen geprüft werden.

Welche Schutzmaßnahmen sind angemessen?

Art.-9-Daten erhöhen häufig das Schadens- und Diskriminierungsrisiko. Das Schutzniveau muss aus einer dokumentierten Risikobewertung folgen, nicht aus einer starren Maßnahmenliste.

Typische Kontrollen sind:

• strikte rollen- und aufgabenbezogene Zugriffe
• starke Authentifizierung für privilegierte und sensible Zugänge
• Verschlüsselung bei Übertragung und Speicherung, wo risikogerecht
• Pseudonymisierung und Trennung von Zuordnungsschlüsseln
• nachvollziehbare Zugriffs- und Änderungsprotokolle
• kurze, begründete Speicherfristen und zuverlässige Löschung
• Regeln gegen unkontrollierte Exporte und lokale Kopien
• sichere Übermittlungswege und geprüfte Empfänger
• gezielte Vertraulichkeits- und Fachschulungen
• Vorfallprozesse, die die besondere Sensibilität berücksichtigen

Pseudonymisierung senkt Risiken, nimmt die Daten aber nicht aus der DSGVO. Auch Verschlüsselung ersetzt keine Rechtsgrundlage.

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Nicht jede einzelne Verarbeitung besonderer Kategorien löst automatisch eine DSFA aus. Art. 35 Abs. 3 Buchst. b nennt jedoch die umfangreiche Verarbeitung besonderer Kategorien als Fall, in dem eine DSFA erforderlich ist. Außerdem kann sich ein voraussichtlich hohes Risiko aus Art, Umfang, Umständen und Zwecken oder aus mehreren Risikofaktoren ergeben.

Zu prüfen sind insbesondere:

• Zahl und Schutzbedürftigkeit betroffener Personen
• Datenvolumen, Detailtiefe und Verknüpfbarkeit
• Dauer, Regelmäßigkeit und räumliche Reichweite
• neue Technologien, Überwachung oder automatisierte Bewertungen
• Zugriffs- und Empfängerkreis einschließlich Drittländern
• mögliche Folgen von Fehlentscheidung, Offenlegung oder Diskriminierung

Starre Personenschwellen für eine DSFA stehen nicht in der DSGVO. Maßgeblich sind die gesetzliche Risikoprüfung und die einschlägigen Listen der zuständigen Aufsichtsbehörden.

Praxisprozess für Art.-9-Verarbeitungen

1. Daten und Ableitungen erkennen

Erfassen Sie nicht nur offensichtliche Felder wie „Diagnose“, sondern auch Freitext, Anhänge, Modelle, Scores und Kombinationen, die besondere Merkmale offenbaren.

2. Zweck eng bestimmen

„Personalverwaltung“, „Forschung“ oder „Sicherheit“ ist meist zu breit. Zweck und notwendiger Datenumfang müssen eine Erforderlichkeitsprüfung ermöglichen.

3. Doppelte Rechtsprüfung dokumentieren

Ordnen Sie jedem Zweck eine Art.-6-Grundlage und eine Art.-9-Ausnahme zu. Wo die Ausnahme ein Gesetz verlangt, ist die konkrete Norm aufzunehmen.

4. Erforderlichkeit und Alternativen prüfen

Kann der Zweck ohne besondere Daten, mit geringerer Genauigkeit oder lokal statt zentral erreicht werden? Gerade bei Biometrie und Profilbildung ist diese Frage entscheidend.

5. Garantien umsetzen

Zugriff, Trennung, Verschlüsselung, Protokollierung, Löschung, Dienstleister und Übermittlungen sind entlang des Risikos zu gestalten.

6. Transparenz und Rechte ermöglichen

Betroffene müssen verständlich erfahren, welche besonderen Daten warum verarbeitet werden. Anfragen dürfen nicht an uneindeutigen Verantwortlichkeiten zwischen Fachbereich, Plattform und Dienstleister scheitern.

7. Risiko und Änderungen überwachen

Prüfen Sie DSFA-Pflicht, Sicherheitsmaßnahmen und Rechtsgrundlagen bei neuen Datenquellen, Modellfunktionen, Empfängern oder Zwecken erneut.

Häufige Fehlannahmen

• „Art. 9 betrifft jede persönliche Information“: Die Vorschrift hat bestimmte Kategorien; andere Daten bleiben dennoch nach der DSGVO geschützt.
• „Jedes Gesichtsfoto ist biometrisch“: Erforderlich ist die spezifische technische Verarbeitung zur eindeutigen Identifizierung oder Bestätigung.
• „Berechtigtes Interesse reicht“: Eine Art.-6-Grundlage ersetzt keine Ausnahme nach Art. 9 Abs. 2.
• „Nur ausdrückliche Einwilligung erlaubt sensible Daten“: Art. 9 Abs. 2 enthält neun weitere Ausnahmen.
• „Im Internet gefunden heißt offenkundig öffentlich gemacht“: Entscheidend ist das bewusste öffentliche Handeln der betroffenen Person.
• „§ 22 BDSG erlaubt Gesundheitsdaten allgemein“: Die Norm hat konkrete Zwecke, Erforderlichkeitsgrenzen und Schutzanforderungen.
• „Pseudonymisiert heißt anonym“: Solange eine Zuordnung möglich ist, bleibt die DSGVO anwendbar.
• „Art.-9-Daten bedeuten immer DSFA“: Die Pflicht folgt aus dem voraussichtlich hohen Risiko oder ausdrücklich aus umfangreicher Verarbeitung, nicht allein aus dem Etikett.
• „Straftaten sind Gesundheits- oder sonstige Art.-9-Daten“: Dafür gilt Art. 10 als eigene Regelung.

FAQ

Sind Krankmeldungen Gesundheitsdaten?+

Angaben, aus denen sich ein gesundheitlicher Zustand oder eine Arbeitsunfähigkeit ergibt, können Gesundheitsdaten sein. Zweck, Datenumfang, Art.-6-Grundlage, Art.-9-Ausnahme und arbeitsrechtliche Spezialnormen sind gemeinsam zu prüfen.

Kann eine ausdrückliche Einwilligung elektronisch erteilt werden?+

Ja. Sie muss nicht zwingend handschriftlich erfolgen, aber eindeutig, ausdrücklich, informiert, freiwillig und nachweisbar sein. Der Widerruf muss so einfach wie die Erteilung sein.

Ist die Gewerkschaftszugehörigkeit immer besonders geschützt?+

Ja, sie ist ausdrücklich in Art. 9 Abs. 1 genannt. Ob ihre Verarbeitung zulässig ist, hängt von einer passenden Ausnahme und den übrigen DSGVO-Voraussetzungen ab.

Sind anonymisierte Gesundheitsstatistiken noch Art.-9-Daten?+

Nur wenn die Anonymisierung tatsächlich verhindert, dass Personen mit vernünftigerweise einsetzbaren Mitteln identifiziert werden. Pseudonymisierte Datensätze bleiben personenbezogene und regelmäßig besondere Daten.

Darf ein Arbeitgeber biometrische Zeiterfassung einsetzen?+

Nicht allein, weil das System praktisch ist. Erforderlich sind eine passende Art.-6-Grundlage, eine Art.-9-Ausnahme, Erforderlichkeit und Verhältnismäßigkeit, eine Prüfung weniger eingriffsintensiver Alternativen sowie angemessene Garantien und gegebenenfalls eine DSFA.

Unterstützung bei sensiblen Datenverarbeitungen

Wir unterstützen bei Klassifizierung, doppelter Rechtsgrundlagenprüfung, DSFA und Schutzkonzept. Mehr dazu finden Sie unter Datenschutz-Beratung.

Quellen und Prüfung

Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:

• Datenschutz-Grundverordnung, insbesondere Art. 4, 6, 9, 10, 25, 32 und 35 (EUR-Lex)
• § 22 BDSG – Verarbeitung besonderer Kategorien personenbezogener Daten (Gesetze im Internet)
• Process personal data lawfully – Rechtsgrundlagen einschließlich besonderer Kategorien (EDPB)
• Guidelines 05/2020 on consent under Regulation 2016/679 (EDPB)
• EuGH, C-184/20 – mittelbar offenbarte besondere Kategorien