Besondere Kategorien personenbezogener Daten

Ausführliche Erklärung

Artikel 9 Absatz 1 der DSGVO zählt abschließend jene Datenkategorien auf, die der europäische Gesetzgeber als besonders schutzbedürftig einstuft: Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. Umgangssprachlich ist von „sensiblen Daten“ die Rede; der Verordnungstext spricht von „besonderen Kategorien personenbezogener Daten“. Nicht erfasst sind Daten über strafrechtliche Verurteilungen und Straftaten — die regelt Artikel 10 DSGVO gesondert, in Österreich ergänzt um § 4 Abs. 3 DSG.

Für die Praxis ist die Abgrenzung zu gewöhnlichen personenbezogenen Daten zentral, denn für die besonderen Kategorien gilt ein grundsätzliches Verarbeitungsverbot. Es genügt nicht, eine Rechtsgrundlage nach Artikel 6 DSGVO zu haben; zusätzlich muss einer der zehn Ausnahmetatbestände des Artikel 9 Absatz 2 erfüllt sein. Dazu zählen unter anderem die ausdrückliche Einwilligung (lit. a), Pflichten aus dem Arbeits-, Sozial- und Sozialschutzrecht (lit. b), der Schutz lebenswichtiger Interessen (lit. c), offensichtlich öffentlich gemachte Daten (lit. e), die Geltendmachung von Rechtsansprüchen (lit. f) sowie Gesundheitsvorsorge und Arbeitsmedizin (lit. h). Ein berechtigtes Interesse oder die Vertragserfüllung reichen hier ausdrücklich nicht — diese Gründe kennt Artikel 9 Absatz 2 nicht.

Die Ausnahme für das Arbeits- und Sozialrecht (lit. b) greift nur, soweit sie durch Unionsrecht, mitgliedstaatliches Recht oder eine Kollektivvereinbarung vorgesehen ist. Österreich hat — anders als Deutschland mit § 26 BDSG — keine eigene Generalnorm zum Beschäftigtendatenschutz erlassen; die Öffnungsklausel wird über die einschlägigen arbeits- und sozialrechtlichen Bestimmungen ausgefüllt, etwa die Entgeltfortzahlung im Krankheitsfall oder die Melde- und Beitragspflichten nach dem ASVG. Das österreichische DSG regelt zu Artikel 9 nur Einzelfragen, unter anderem eine Genehmigungspflicht der Datenschutzbehörde für bestimmte Forschungs- und Statistikvorhaben (§ 7 DSG) und das Verbot, Bildaufnahmen anhand besonderer Kategorien als Auswahlkriterium auszuwerten (§ 12 DSG).

Praktisch bedeuten besondere Kategorien erhöhte Sorgfaltspflichten: Die Verarbeitung ist im Verarbeitungsverzeichnis gesondert auszuweisen, die technischen und organisatorischen Maßnahmen sind strenger zu bemessen — Zugriffsbeschränkung auf den engen Kreis der Zuständigen, Verschlüsselung, Protokollierung —, und bei umfangreicher Verarbeitung verlangt Artikel 35 Absatz 3 lit. b DSGVO eine Datenschutz-Folgenabschätzung. Schon die Krankmeldung einer Mitarbeiterin ist eine Verarbeitung von Gesundheitsdaten; die Diagnose darf der Arbeitgeber dabei nicht verlangen, sondern nur das Bestehen und die voraussichtliche Dauer der Arbeitsunfähigkeit erfahren.

Der Kontext entscheidet: Ein gewöhnliches Foto ist für sich genommen kein biometrisches Datum. Erst wenn es mit speziellen technischen Verfahren zur eindeutigen Identifizierung ausgewertet wird — etwa bei Gesichtserkennung oder biometrischer Identifikation —, fällt es unter Artikel 9. Bei biometrischen Zeiterfassungs- und Zutrittssystemen kommt in Österreich das Arbeitsrecht hinzu: Der Oberste Gerichtshof hat den Fingerscanner als Kontrollmaßnahme eingestuft, die die Menschenwürde berührt und daher nach § 96 Abs. 1 Z 3 ArbVG eine Betriebsvereinbarung erfordert; in Betrieben ohne Betriebsrat ist nach § 10 AVRAG die jederzeit widerrufliche Zustimmung der einzelnen Beschäftigten nötig. Datenschutzrecht und Arbeitsrecht sind hier zwei getrennte Hürden — beide müssen genommen werden.