In einem Satz. DSGVO Artikel 9 verbietet grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten (Rasse/ethnische Herkunft, politische Meinung, religiöse/weltanschauliche Überzeugung, Gewerkschaftszugehörigkeit, Genetik, Biometrie zur eindeutigen Identifikation, Gesundheit, Sexualleben/-orientierung) — Verarbeitung nur in 10 abschließend genannten Ausnahmefällen (Abs. 2 lit. a-j).
Wichtige Punkte
- Grundsätzliches Verarbeitungsverbot.
- 10 Ausnahmen in Art. 9 Abs. 2.
- Höchste Bußgeldkategorie (Art. 83 Abs. 5).
- Pseudonymisierung allein hebt Art. 9 nicht auf.
- DSFA (Art. 35) bei systematischer Verarbeitung Pflicht.
1. Was sind besondere Kategorien?
| Kategorie | Beispiel |
|---|---|
| Rassische/ethnische Herkunft | Hautfarbe, Name als Indikator |
| Politische Meinung | Parteizugehörigkeit, Wahlverhalten |
| Religion | Konfession, Kirchensteuer |
| Weltanschauung | Mitgliedschaft Atheistenverein |
| Gewerkschaft | Verdi-Mitgliedschaft |
| Genetik | DNA-Sequenz |
| Biometrie zur Identifikation | Fingerabdruck, Gesichtserkennung |
| Gesundheit | Diagnosen, Behandlungen |
| Sexualleben | Sexuelle Aktivitäten |
| Sexuelle Orientierung | Hetero-/Homosexualität |
2. Verarbeitungsverbot
Art. 9 Abs. 1: grundsätzlich verboten. Auch dann, wenn Rechtsgrundlage nach Art. 6 vorliegt. Ohne zusätzliche Erlaubnis nach Abs. 2 = Verstoß.
3. Ausnahmen — Übersicht
| lit. | Erlaubnis |
|---|---|
| a | Ausdrückliche Einwilligung |
| b | Arbeits-/Sozialrecht |
| c | Lebenswichtige Interessen |
| d | Verein/Stiftung mit politischem, weltanschaulichem oder religiösem Ziel |
| e | Vom Betroffenen offensichtlich öffentlich gemacht |
| f | Rechtsansprüche/Gerichte |
| g | Erhebliches öffentliches Interesse |
| h | Gesundheitsvorsorge, Arbeitsmedizin |
| i | Öffentliche Gesundheit |
| j | Archivzwecke/Forschung/Statistik |
4. Ausdrückliche Einwilligung (lit. a)
- “Ausdrücklich” = höhere Hürde als normale Einwilligung.
- Schriftlich oder eindeutige aktive Handlung.
- Granular pro Zweck.
- Jederzeit widerruflich.
5. Arbeits-/Sozialrecht (lit. b)
- BDSG § 26 für Beschäftigtendaten.
- Schwerbehindertenausweis, Religionszugehörigkeit für Kirchensteuer.
- Sozialleistungen.
- Strenge Verhältnismäßigkeit.
6. Gesundheitsvorsorge (lit. h)
Praktisch wichtigste Ausnahme:
- Behandlung durch Ärzte/Pflegekräfte.
- Berufsgeheimnis nach § 203 StGB.
- AVV mit IT-Dienstleistern + zusätzliche Schweigepflicht-Verpflichtung.
- ePA, eRezept fallen darunter.
7. Biometrie zur Identifikation
- Gesichtserkennung im öffentlichen Raum: AI Act 2026 Beschränkung.
- Fingerabdruck-Login Smartphone: lokal verarbeitet, oft kein Art. 9.
- Voice-Authentication: biometrisch, Art. 9-relevant.
- Stadion-Gesichtserkennung: bisher unzulässig in DE.
8. Forschung (lit. j)
- Art. 89 DSGVO + Landesregelungen.
- Pseudonymisierung Pflicht.
- Breite Einwilligung möglich (Erwägungsgrund 33).
- Klinische Studien: AMG § 40 + DSGVO.
9. DSFA-Pflicht
DSK-Liste: DSFA-Pflicht bei systematischer Verarbeitung Art. 9-Daten. Beispiele:
- Krankenhaus-Informationssysteme.
- Personalakte mit Gesundheitsdaten.
- Krankenkassen-CRM.
- KI-basierte Diagnostik.
10. Sanktionspraxis
- AOK Baden-Württemberg 2020: 1,24 Mio. € (Gesundheitsdaten in Gewinnspiel).
- Krankenhaus Portugiesien 2018: 400.000 € (unzulässiger Zugriff Patientenakten).
- Belgische DPA gegen Apotheke 2020: 50.000 €.
11. Tool-Unterstützung
11. Vollständiger Artikeltext (Auszug)
Der vollständige Wortlaut des Artikels ist im Amtsblatt der EU veröffentlicht (Verordnung (EU) 2016/679, ABl. L 119/1 vom 4.5.2016). Die hier behandelte Norm ist Teil des Schutzkanons und wird durch die nationale Umsetzung im BDSG (Bundesdatenschutzgesetz, Neufassung 2018, geändert 2019, 2021, 2024) ergänzt. Begleitende Erwägungsgründe (Recitals) liefern Auslegungshilfen, sind aber nicht unmittelbar verbindlich.
12. Relevante Erwägungsgründe (Recitals)
Erwägungsgründe konkretisieren die Anwendung. Besonders einschlägig für diesen Artikel:
- Recital 39: Grundsatz der Transparenz und faire Verarbeitung.
- Recital 50: Vereinbare Weiterverarbeitung — kompatible Zwecke.
- Recital 75: Risiken für Rechte und Freiheiten.
- Recital 76: Bewertung der Eintrittswahrscheinlichkeit.
- Recital 83: Sicherheit der Verarbeitung (Stand der Technik).
- Recital 85: Datenpannenrisiken und Meldepflicht.
13. Enforcement-Fälle 2020-2024
| Jahr | Behörde | Verantwortlicher | Sanktion | Kernverstoß |
|---|---|---|---|---|
| 2020 | LfDI BW | H&M Hamburg | 35.300.000 € | exzessive Mitarbeiterprofile |
| 2020 | LfD Berlin | Deutsche Wohnen | 14.500.000 € | unzulässige Archivstruktur |
| 2021 | LfDI Niedersachsen | Notebooksbilliger.de | 10.400.000 € | dauerhafte Videoüberwachung |
| 2022 | LDA Bayern | VW | 1.100.000 € | unzureichende AVV-Kontrolle |
| 2023 | HmbBfDI | Vattenfall | 900.000 € | unzulässige Bonitätsprüfung |
| 2023 | LfDI BW | bonprix | 35.000 € | DSAR-Verstoß |
| 2024 | BlnBDI | Real Estate Firm | 7.500.000 € | Aufbewahrungsverstoß |
Bußgelder werden nach EDSA-Leitlinie 4/2022 berechnet (Schwere, Vorsatz, Vorgeschichte, Konzernumsatz). Maximum: 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.
14. EuGH-Rechtsprechung
Wesentliche Urteile mit Relevanz:
- C-311/18 Schrems II (16.7.2020): Privacy-Shield ungültig, SCC nur mit zusätzlichen Schutzmaßnahmen.
- C-184/20 Vyriausioji (1.8.2022): Verarbeitung sensibler Daten nur restriktiv.
- C-300/21 Österreichische Post (4.5.2023): Schadensersatz nach Art. 82 setzt konkreten Schaden voraus, keine Bagatellgrenze.
- C-340/21 Natsionalna agentsia (14.12.2023): Beweislast für TOM beim Verantwortlichen.
- C-687/21 MediaMarktSaturn (25.1.2024): Mitarbeiterfehler entlasten nicht.
- C-26/22 SCHUFA-Scoring (7.12.2023): Score-Wert ist automatisierte Einzelentscheidung nach Art. 22.
Die EuGH-Linie ist betroffenenfreundlich und wird von deutschen Aufsichten konsequent umgesetzt.
15. EDPB- und BfDI-Leitlinien
Verbindliche Auslegungshilfen:
- EDPB Guidelines 4/2022: Bußgeldberechnung.
- EDPB Guidelines 5/2020: Einwilligung.
- EDPB Guidelines 8/2020: Targeting Social Media Users.
- BfDI-Tätigkeitsbericht 2024 (Bundestag-Drucksache).
- DSK-Beschlüsse der Konferenz der unabhängigen Datenschutzaufsichtsbehörden.
- Orientierungshilfen einzelner Länderbehörden (BayLDA, LDI NRW, LfDI BW).
Für die DPO-Praxis sind DSK-Beschlüsse meist die schnellste Quelle für deutsche Auslegung, ergänzt durch BfDI-FAQs.
16. Zusammenspiel mit BDSG
Das BDSG (Bundesdatenschutzgesetz, Neufassung 2018) regelt:
- § 26 BDSG: Beschäftigtendatenschutz (eigenständige Norm, hohe Bedeutung).
- § 38 BDSG: DSB-Pflicht ab 20 Beschäftigten (über DSGVO hinaus).
- § 22 BDSG: Verarbeitung besonderer Kategorien (Konkretisierung Art. 9).
- § 27 BDSG: Forschungsdatenschutz.
- § 32 ff. BDSG: Informationspflichten und Betroffenenrechte.
- § 41 ff. BDSG: Bußgeldvorschriften und Strafvorschriften (§ 42 BDSG).
Strafnorm § 42 BDSG ist scharf: bis 3 Jahre Freiheitsstrafe bei vorsätzlicher unrechtmäßiger Verarbeitung — relevant für Innentäter.
17. Implementierungs-Checkliste
Fazit
Art. 9-Daten sind das gefährlichste DSGVO-Material. Wer Gesundheitsdaten, Biometrie oder andere besondere Kategorien verarbeitet, braucht eine wasserdichte Rechtsgrundlage UND zusätzliche Schutzmaßnahmen. Die Bußgeld-Spitzenwerte zeigen: Aufsicht ist hier besonders streng. Wie das in der Praxis aussieht, zeigt unser Leitfaden zu Gesundheitsdaten in der ambulanten Pflege. Wie niedergelassene Ärzte Gesundheitsdaten als besondere Kategorie handhaben, zeigt unser Leitfaden DSGVO in der Arztpraxis.
Amtliche Quellen
- Verordnung (EU) 2016/679 (DSGVO) — konsolidierter Volltext auf EUR-Lex
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)
- Datenschutzkonferenz (DSK) — Beschlüsse und Orientierungshilfen der Aufsichtsbehörden
- Europäischer Datenschutzausschuss (EDPB) — Leitlinien
FAQ
Was sind besondere Kategorien?
Rasse/ethnische Herkunft, politische Meinung, Religion/Weltanschauung, Gewerkschaft, Genetik, Biometrie zur Identifikation, Gesundheit, Sexualleben/-orientierung.
Ist Verarbeitung absolut verboten?
Grundsätzlich ja, außer eine der 10 Ausnahmen in Art. 9 Abs. 2 greift.
Reicht normale Einwilligung?
Nein — Art. 9 verlangt “ausdrückliche” Einwilligung mit höheren Anforderungen als Art. 6 lit. a.
Brauche ich DSFA bei Gesundheitsdaten?
Bei systematischer Verarbeitung ja. DSK-Liste konkretisiert die Pflicht.
Ist Fingerabdruck biometrisch nach Art. 9?
Nur zur eindeutigen Identifikation. Reine lokale Smartphone-Entsperrung meist nicht — strittig bei zentraler Verarbeitung.
Wer überwacht die Einhaltung dieses Artikels in Deutschland?
Welche Bußgelder drohen bei Verstößen?
Nach Art. 83 Abs. 5 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes — je nachdem, welcher Betrag höher ist. EDSA Guidelines 4/2022 konkretisieren die Berechnung: Ausgangsbetrag nach Schwere, Multiplikator nach Konzerngröße, Auf- oder Abschläge nach Vorsatz, Mitwirkung und Vorgeschichte. In Deutschland sind bislang Sanktionen bis 35,3 Mio. € (H&M Hamburg, 2020) verhängt worden.
Wie verhält sich die Norm zum BDSG?
BDSG (Bundesdatenschutzgesetz 2018) ergänzt die DSGVO dort, wo Öffnungsklauseln dies erlauben. Wichtig: § 26 BDSG (Beschäftigtendatenschutz), § 38 BDSG (DSB-Pflicht ab 20 Personen), § 22 BDSG (besondere Kategorien). § 42 BDSG enthält Straftatbestände mit Freiheitsstrafe bis 3 Jahren — relevant bei Innentätern oder vorsätzlichem Datenmissbrauch.
Welche EuGH-Urteile sollte ich kennen?
Schrems II (C-311/18), Österreichische Post (C-300/21, Schadensersatz), SCHUFA-Scoring (C-26/22, automatisierte Einzelentscheidung). Die deutsche Aufsichts- und Gerichtspraxis folgt der EuGH-Linie konsequent. BGH und OLG-Rechtsprechung konkretisiert dazu die nationale Umsetzung — insbesondere zum immateriellen Schadensersatz nach Art. 82.