Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Manche Daten können einem Menschen besonders schaden, wenn sie in falsche Hände geraten. Eine bekannt gewordene Krankheit, die Religion oder die sexuelle Orientierung können zu Ausgrenzung, Benachteiligung am Arbeitsplatz oder sogar zu Gewalt führen. Deshalb behandelt die DSGVO diese Daten strenger als alle anderen. Im Wachdienst begegnen sie dir öfter, als du denkst: im Einsatzbericht nach einem Sanitätsfall, am Fingerabdruckleser einer Zutrittskontrolle oder bei der Frage, warum ein Kollege bestimmte Schichten nicht übernehmen kann.

Was im Gesetz steht

Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung folgender Daten:

• Daten, aus denen die rassische und ethnische Herkunft hervorgeht
• politische Meinungen
• religiöse oder weltanschauliche Überzeugungen
• die Gewerkschaftszugehörigkeit
• genetische Daten
• biometrische Daten zur eindeutigen Identifizierung einer Person
• Gesundheitsdaten
• Daten zum Sexualleben oder zur sexuellen Orientierung

Art. 9 Abs. 2 nennt dann die Ausnahmen, in denen die Verarbeitung doch erlaubt ist. Das Verbot ist also nicht absolut, aber die Hürden sind deutlich höher als bei normalen personenbezogenen Daten.

Die Begriffe genauer

Gesundheitsdaten

Nach Art. 4 Nr. 15 DSGVO sind das Daten über die körperliche oder geistige Gesundheit, auch über Gesundheitsleistungen. Dazu gehören Verletzungen, Krankheiten, Allergien, Behinderungen, Medikamente und eine Krankmeldung. Schreibst du in einen Bericht "Gast stürzte, Platzwunde am Kopf, Rettungsdienst übernahm", sind das Gesundheitsdaten.

Biometrische Daten

Art. 4 Nr. 14 DSGVO meint Daten über körperliche oder verhaltenstypische Merkmale, die mit speziellen technischen Verfahren gewonnen werden und eine eindeutige Identifizierung ermöglichen. Typisch sind Fingerabdruckscanner, Handvenenerkennung oder Gesichtserkennung an einer Zutrittsschleuse. Ein normales Foto oder Videobild ist nach Erwägungsgrund 51 nicht automatisch ein biometrisches Datum. Es wird erst dazu, wenn es mit solcher Technik ausgewertet wird, um Personen zu erkennen.

Herkunft, Religion, Weltanschauung

Es geht um Daten, aus denen diese Merkmale hervorgehen. Ein Vermerk wie "Besucher trug Kippa" oder eine Liste, welche Kollegen wegen eines religiösen Feiertags frei haben wollen, kann darunter fallen. Für deine Berichte heißt das: Solche Merkmale gehören nur hinein, wenn sie für den Vorfall wirklich nötig sind, etwa als Täterbeschreibung für die Polizei.

Was nicht unter Art. 9 fällt

Daten über Straftaten und strafrechtliche Verurteilungen sind keine besondere Kategorie nach Art. 9. Für sie gilt eine eigene, ebenfalls strenge Vorschrift: Art. 10 DSGVO. Ein Hausverbot wegen Ladendiebstahls ist also kein Fall von Art. 9, aber trotzdem sensibel.

Die wichtigsten Ausnahmen für den Wachdienst

• Ausdrückliche Einwilligung (Buchstabe a): Die betroffene Person stimmt klar und für einen festgelegten Zweck zu. Was eine wirksame Einwilligung ausmacht, steht auf einer eigenen Seite. Bei Beschäftigten ist das heikel, weil die Freiwilligkeit im Arbeitsverhältnis genau geprüft wird. Ein Fingerabdrucksystem für Mitarbeiter wird deshalb oft nur auf freiwilliger Basis mit Alternative, etwa einer Karte, eingesetzt.
• Arbeitsrecht und Sozialschutz (Buchstabe b, ergänzt durch Paragraf 26 Absatz 3 BDSG): Der Arbeitgeber darf zum Beispiel Krankmeldungen verarbeiten, um Lohnfortzahlung abzurechnen.
• Lebenswichtige Interessen (Buchstabe c): Wenn die Person körperlich oder rechtlich nicht einwilligen kann, etwa weil sie bewusstlos ist. Dann darfst du dem Rettungsdienst sagen, was du über ihren Zustand weißt.
• Rechtsansprüche (Buchstabe f): Zur Geltendmachung oder Abwehr von Rechtsansprüchen, etwa wenn nach einem Vorfall Schadensersatz gefordert wird.

Paragraf 22 BDSG ergänzt weitere Ausnahmen und verlangt in allen Fällen besondere Schutzmaßnahmen: eingeschränkter Zugriff, Protokollierung, Schulung der Beteiligten, Verschlüsselung. Nach überwiegender Ansicht braucht es zusätzlich zu einer Ausnahme nach Art. 9 auch eine Rechtsgrundlage nach Art. 6 DSGVO.

Ein Fall aus dem Dienst

Bei einem Stadtfest findest du einen jungen Mann, der zittert und verwirrt wirkt. Er hat ein Armband mit der Aufschrift "Diabetiker" und eine Insulinspritze in der Tasche. Du rufst den Sanitätsdienst und gibst die Informationen weiter. Das ist zulässig: Er kann gerade nicht wirksam einwilligen, und es geht um lebenswichtige Interessen.

Danach schreibst du deinen Einsatzbericht. Die Regeln für Wachbuch und Protokolle gelten hier besonders streng. Hinein gehören Zeit, Ort, was du festgestellt und veranlasst hast, und wem du die Person übergeben hast. Nicht hinein gehören Vermutungen über seine Krankengeschichte. Und auf keinen Fall gehört der Vorfall mit Namen und Foto in die Gruppe deines Teams im Messenger. Dort hätten Personen Zugriff, die die Gesundheitsdaten nicht brauchen.

Typische Prüfungsfallen

• Art. 9 ist ein Verbot mit Ausnahmen, kein generelles Verbot ohne Ausweg.
• Die Einwilligung muss bei Art. 9 ausdrücklich sein. Ein bloßes Dulden reicht nicht.
• Straftaten stehen nicht in Art. 9, sondern in Art. 10 DSGVO.
• Ein Foto ist nicht automatisch biometrisch. Entscheidend ist die technische Auswertung zur Identifizierung.
• Auch eine einfache Notiz zu einer Verletzung ist ein Gesundheitsdatum.

Art. 9 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.