Sensible Daten nennt man im Datenschutzrecht der EU die besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind.
Auf einen Blick
Als biometrische Daten nennt Art. 9 Abs. 1 DSGVO nur solche zur eindeutigen Identifizierung einer natürlichen Person.
Die Mitgliedstaaten können für genetische, biometrische und Gesundheitsdaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten.
Lichtbilder gelten nach Erwägungsgrund 51 nicht grundsätzlich als besondere Kategorie, weil sie nur dann unter den Begriff biometrische Daten fallen, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen.
Was ist Sensible Daten?
Die DSGVO regelt in Artikel 9 besondere Kategorien personenbezogener Daten, ohne dort den Ausdruck „sensible Daten“ zu verwenden. Artikel 9 Absatz 1 nennt Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. Nach Erwägungsgrund 51 verdienen personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, einen besonderen Schutz.
Zusätzlich zu den speziellen Anforderungen sollten nach Erwägungsgrund 51 die allgemeinen Grundsätze und anderen Bestimmungen der Verordnung gelten, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung. Verarbeitet ein Versicherer Gesundheitsdaten, etwa in der Berufsunfähigkeitsversicherung, gilt das Verbot nach Artikel 9 Absatz 1 DSGVO, es sei denn, eine Ausnahme nach Absatz 2 greift, etwa eine ausdrückliche Einwilligung. Die Einwilligung hebt das Verbot nicht auf, wenn nach Unionsrecht oder dem Recht der Mitgliedstaaten das Verbot durch die Einwilligung der betroffenen Person nicht aufgehoben werden kann.
Wie funktioniert Sensible Daten?
Das Verbot nach Artikel 9 Absatz 1 DSGVO kann durch eine ausdrückliche Einwilligung der betroffenen Person für einen oder mehrere festgelegte Zwecke aufgehoben werden, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann die Einwilligung es nicht aufheben. Eine weitere Ausnahme nennt Artikel 9 Absatz 2 Buchstabe b: Die Verarbeitung muss erforderlich sein, damit der Verantwortliche oder die betroffene Person die Rechte und Pflichten aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes ausüben und erfüllen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist.
Buchstabe h erfasst Zwecke wie Gesundheitsvorsorge, Arbeitsmedizin und medizinische Diagnostik, wenn die Verarbeitung auf der Grundlage des Unionsrechts, des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der Bedingungen und Garantien des Absatzes 3 erforderlich ist.
Sensible Daten im Vergleich
| Kriterium | Sensible Daten | Vertrauliche Informationen (IT-Sicherheit) | Personenbezogene Daten |
|---|---|---|---|
| Maßstab | Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind und einen besonderen Schutz verdienen (Erwägungsgrund 51 der DSGVO; Art. 9 Abs. 1 DSGVO). | Nach dem BSI IT-Grundschutz-Kompendium ist Vertraulichkeit der Schutz vor unbefugter Preisgabe von Informationen. | Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). |
| Bezug zur Person | Teilmenge: Art. 9 Abs. 1 DSGVO regelt die Verarbeitung personenbezogener Daten, aus denen bestimmte Merkmale hervorgehen, sowie genetischer Daten, biometrischer Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. | Ein Personenbezug ist für den Maßstab nicht erforderlich: Der BSI-Online-Kurs fragt bei der Schutzbedarfsfeststellung, was wäre, wenn geheime Geschäftsdaten aus der Anwendung „Finanzbuchhaltung“ bekannt würden. | Oberbegriff: Gesundheitsdaten etwa sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen (Art. 4 Nr. 15 DSGVO). |
| Rechtsfolge | Die Verarbeitung ist nach Art. 9 Abs. 1 DSGVO untersagt; Absatz 2 nennt Ausnahmen, etwa die ausdrückliche Einwilligung. | Nach dem BSI IT-Grundschutz-Kompendium dürfen vertrauliche Daten und Informationen ausschließlich Befugten in der zulässigen Weise zugänglich sein. | Es gelten die allgemeinen Grundsätze und anderen Bestimmungen der Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung; für besondere Kategorien kommen die speziellen Anforderungen hinzu (Erwägungsgrund 51 der DSGVO). |
Sensible Daten erkennen: Welche Kategorien nennt Art. 9 DSGVO?
| Kategorie | Worauf es ankommt |
|---|---|
| Herkunft, Meinungen, Überzeugungen | Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen (Art. 9 Abs. 1 DSGVO). |
| Genetische Daten | Personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser Person liefern und insbesondere aus der Analyse einer biologischen Probe gewonnen wurden (Art. 4 Nr. 13 DSGVO). |
| Biometrische Daten | Als biometrische Daten nennt Art. 9 Abs. 1 DSGVO nur solche zur eindeutigen Identifizierung einer natürlichen Person; biometrische Daten sind nach Art. 4 Nr. 14 DSGVO mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu physischen, physiologischen oder verhaltenstypischen Merkmalen, die die eindeutige Identifizierung ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten. |
| Gesundheitsdaten | Personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen (Art. 4 Nr. 15 DSGVO). |
| Sexualleben, sexuelle Orientierung | Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person (Art. 9 Abs. 1 DSGVO). |
Schutz im Ernstfall
Vorbeugen
- In den Fällen des § 22 Abs. 1 BDSG sind angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen.
- Dazu können nach § 22 BDSG unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen insbesondere Pseudonymisierung und Verschlüsselung personenbezogener Daten gehören.
- Nach Artikel 35 Absatz 3 Buchstabe b DSGVO ist eine Datenschutz-Folgenabschätzung gemäß Absatz 1 unter anderem bei umfangreicher Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 erforderlich.
Beispiele aus der Praxis
- Nach dem BfDI ist die Verarbeitung von Gesundheitsdaten im Zusammenhang mit einem Beschäftigungsverhältnis nur unter bestimmten Bedingungen erlaubt, etwa wenn sie zur Ausübung von Rechten und Pflichten, die aus einer Erkrankung oder einer Schwerbehinderung entstehen, erforderlich ist.
- Die Verarbeitung eines Lichtbilds sollte nach Erwägungsgrund 51 nicht grundsätzlich als Verarbeitung besonderer Kategorien angesehen werden, denn Lichtbilder fallen nur dann unter biometrische Daten, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen.
- Daktyloskopische Daten, die mit speziellen technischen Verfahren gewonnen werden und die eindeutige Identifizierung einer natürlichen Person ermöglichen, sind biometrische Daten im Sinne von Art. 4 Nr. 14 DSGVO; ihre Verarbeitung zur eindeutigen Identifizierung ist nach Art. 9 Abs. 1 DSGVO untersagt, vorbehaltlich der Ausnahmen in Absatz 2.
- Ein Versicherer verarbeitet Gesundheitsdaten in der Berufsunfähigkeitsversicherung; das Verbot nach Artikel 9 Absatz 1 DSGVO gilt, es sei denn, eine Ausnahme nach Absatz 2 greift, etwa eine ausdrückliche Einwilligung.
