DSGVO Artikel 9: Besondere Kategorien 2026

In einem Satz. DSGVO Artikel 9 verbietet grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten (Rasse/ethnische Herkunft, politische Meinung, religiöse/weltanschauliche Überzeugung, Gewerkschaftszugehörigkeit, Genetik, Biometrie zur eindeutigen Identifikation, Gesundheit, Sexualleben/-orientierung) — Verarbeitung nur in 10 abschließend genannten Ausnahmefällen (Abs. 2 lit. a-j).

Verstöße gegen Art. 9 können in die höhere Bußgeldkategorie fallen. Siehe ergänzend DSGVO Art. 5 und DSGVO Art. 32.

Wichtige Punkte

• Grundsätzliches Verarbeitungsverbot.
• 10 Ausnahmen in Art. 9 Abs. 2.
• Höchste Bußgeldkategorie (Art. 83 Abs. 5).
• Pseudonymisierung allein hebt Art. 9 nicht auf.
• DSFA (Art. 35) prüfen; insbesondere umfangreiche Verarbeitung kann ein hohes Risiko begründen.

1. Was sind besondere Kategorien?

2. Verarbeitungsverbot

Art. 9 Abs. 1: grundsätzlich verboten. Auch dann, wenn Rechtsgrundlage nach Art. 6 vorliegt. Ohne zusätzliche Erlaubnis nach Abs. 2 = Verstoß.

3. Ausnahmen — Übersicht

4. Ausdrückliche Einwilligung (lit. a)

• “Ausdrücklich” = höhere Hürde als normale Einwilligung.
• Eine ausdrücklich erklärte Zustimmung zum konkreten Zweck; Schriftform ist nicht zwingend, die Erklärung muss aber nachweisbar sein.
• Granular pro Zweck.
• Jederzeit widerruflich.

5. Arbeits-/Sozialrecht (lit. b)

• BDSG § 26 für Beschäftigtendaten.
• Schwerbehindertenausweis, Religionszugehörigkeit für Kirchensteuer.
• Sozialleistungen.
• Strenge Verhältnismäßigkeit.

6. Gesundheitsvorsorge (lit. h)

Praktisch wichtigste Ausnahme:

• Behandlung durch Ärzte/Pflegekräfte.
• Berufsgeheimnis nach § 203 StGB.
• AVV mit IT-Dienstleistern + zusätzliche Schweigepflicht-Verpflichtung.
• Bei ePA und eRezept sind die jeweiligen Datenflüsse, Rollen und Spezialregeln gesondert zu prüfen.

7. Biometrie zur Identifikation

• Gesichtserkennung: Zweck, Rechtsgrundlage und zusätzliche KI-rechtliche Anforderungen gesondert prüfen.
• Fingerabdruck-Login: Speicherort, technischen Zweck und Verantwortlichkeit im Einzelfall prüfen.
• Voice-Authentication: biometrisch, Art. 9-relevant.
• Zugangskontrolle per Gesichtserkennung: Notwendigkeit und mildere Alternativen besonders streng prüfen.

8. Forschung (lit. j)

• Art. 89 DSGVO + Landesregelungen.
• Pseudonymisierung als wichtige Schutzmaßnahme prüfen; sie ersetzt weder die Rechtsgrundlage noch die Zweckbindung.
• Breite Einwilligung möglich (Erwägungsgrund 33).
• Klinische Studien: AMG § 40 + DSGVO.

9. DSFA-Schwelle prüfen

Die DSFA-Schwelle richtet sich nach dem voraussichtlich hohen Risiko und den Listen der Aufsicht. Prüfen Sie insbesondere:

• Krankenhaus-Informationssysteme.
• Personalakte mit Gesundheitsdaten.
• Krankenkassen-CRM.
• KI-basierte Diagnostik.

Siehe DSFA-Leitfaden.

10. Zwei Rechtsprüfungen statt einer pauschalen Freigabe

Für besondere Kategorien ist eine zweistufige Prüfung nötig. Zuerst braucht die konkrete Verarbeitung eine tragfähige Rechtsgrundlage nach Artikel 6. Danach muss eine Ausnahme vom Verbot des Artikels 9 Absatz 1 greifen. Bei Beschäftigten kann etwa die Verwaltung krankheitsbedingter Abwesenheit arbeitsrechtlich erforderlich sein; daraus folgt aber keine freie Verwendung medizinischer Details für Leistungsbewertungen. Eine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a ist ebenfalls kein Ersatz für die Prüfung, ob sie im jeweiligen Verhältnis freiwillig und widerruflich sein kann. Der Leitfaden zu Artikel 6 beschreibt die erste Stufe; dieser Artikel konzentriert sich auf die zweite.

Ein brauchbarer Prüfeintrag benennt Zweck, Datenkategorie, betroffene Personen, Artikel-6-Grundlage, konkrete Ausnahme aus Artikel 9 Absatz 2, gegebenenfalls ergänzendes Unions- oder deutsches Recht, Empfänger, Löschkriterium und technische Schutzmaßnahme. „Gesundheitsdaten, weil wir sie brauchen“ reicht nicht. Wenn die Rechtsgrundlage auf einer Norm beruht, ist die einschlägige Vorschrift konkret zu nennen. Bei Forschung oder öffentlicher Gesundheit sind die Voraussetzungen und Schutzvorkehrungen der jeweiligen Buchstaben anders als bei medizinischer Behandlung; sie dürfen nicht austauschbar verwendet werden.

Eine zweite Fallfrage betrifft abgeleitete Daten. Ein Feld „Krankheit: ja/nein“, eine aus einem Terminplan erschlossene Behandlung oder ein aus Einkaufsverhalten abgeleitetes sensibles Merkmal kann dieselbe Schutzbedürftigkeit haben wie ein ausdrücklich erfasster Befund. Die Einstufung richtet sich nach Inhalt und Kontext, nicht nach dem Datenbanknamen. Umgekehrt wird nicht jede Fotografie schon deshalb zu biometrischen Daten nach Artikel 9; relevant ist die spezielle technische Verarbeitung zur eindeutigen Identifikation. Deshalb sind bei Fingerabdruck- oder Gesichtserkennung sowohl Erhebungszweck als auch technische Funktion zu beschreiben, bevor eine pauschale Aussage über die Zulässigkeit getroffen wird.

11. Gesundheitsdaten im Betrieb und bei Dienstleistern

Bei der Krankmeldung benötigt der Arbeitgeber grundsätzlich die Information zur Arbeitsunfähigkeit und deren Dauer, nicht die Diagnose. Stellen Beschäftigte trotzdem medizinische Unterlagen zur Verfügung, sollte der Zugang eng begrenzt und die Ablage getrennt von allgemeinen Personalakten geführt werden. Eine Führungskraft braucht für die Einsatzplanung andere Informationen als der Betriebsarzt. Solche Rollengrenzen sind eine konkrete Umsetzung von Datenminimierung und Artikel 32; ein allgemeines Vertraulichkeitsversprechen ist dafür kein Ersatz.

Beim Einsatz einer Praxissoftware oder eines externen HR-Dienstes sind die Rollen nach tatsächlichem Handeln zu klären. Ein Auftragsverarbeiter benötigt eine Vereinbarung nach Artikel 28, dokumentierte Weisungen, angemessene Sicherheit und eine Regelung für Unterauftragnehmer. Medizinisches Personal kann hingegen eigenen berufsrechtlichen Pflichten unterliegen; ein AV-Vertrag ist nicht automatisch die passende Antwort für jede Beziehung. Die AVV-Anleitung hilft bei echten Auftragsverarbeitungen. Für die Arztpraxis und ambulante Pflege sind die konkreten Datenflüsse gesondert zu dokumentieren.

Ein Zugriffskonzept sollte Fallarbeit ermöglichen, aber neugierige Einsicht verhindern. Rollen werden nach Aufgaben vergeben; privilegierte Zugriffe, Exporte und Notfallzugriffe werden protokolliert und regelmäßig geprüft. Bei einem Stellenwechsel werden Rechte entfernt. In einer Probeprüfung lässt sich fragen: Wer kann Diagnosen exportieren? Ist erkennbar, warum ein Datensatz geöffnet wurde? Wer erhält einen Alarm bei ungewöhnlichen Zugriffen? Ein nachgewiesener Test dieser Kontrollen ist aussagekräftiger als die Behauptung, ein System sei „sicher“.

12. Wann die Folgenabschätzung wirklich erforderlich wird

Artikel 9-Daten erhöhen häufig das Risiko, lösen aber nicht in jedem denkbaren Einzelfall automatisch eine DSFA aus. Artikel 35 knüpft an ein voraussichtlich hohes Risiko an; Artikel 35 Absatz 3 und die Listen der zuständigen Aufsichten nennen wichtige Konstellationen, etwa umfangreiche Verarbeitung besonderer Kategorien. Ein Arzt, der eine gewöhnliche Patientenakte führt, und eine große Plattform, die Gesundheitsprofile mehrerer Millionen Menschen auswertet, haben unterschiedliche Risikoprofile. Die Entscheidung sollte anhand Umfang, Betroffenen, Technologie, Schutzbedürftigkeit und möglichen Folgen dokumentiert werden.

Die DSFA fragt nicht nur, ob Verschlüsselung vorhanden ist. Sie beschreibt Zweck und Notwendigkeit, prüft weniger eingriffsintensive Alternativen, bewertet konkrete Folgen wie Diskriminierung, Stigmatisierung oder Verlust medizinischer Vertraulichkeit und hält Maßnahmen sowie verbleibendes Risiko fest. Wenn das hohe Restrisiko nicht ausreichend reduziert werden kann, ist vor Beginn die Konsultation nach Artikel 36 zu prüfen. Der DSFA-Leitfaden erklärt die Struktur. Bei späteren Änderungen des Umfangs, neuen Empfängern oder neuer KI-Auswertung ist die Bewertung zu aktualisieren.

13. Forschung, Archiv und weitergehende Zwecke

Artikel 9 Absatz 2 Buchstabe j öffnet kein allgemeines Forschungsprivileg. Die Verarbeitung muss auf geeignetem Unions- oder Mitgliedstaatsrecht beruhen und die Anforderungen des Artikels 89 Absatz 1 erfüllen. Pseudonymisierung kann eine wichtige Schutzmaßnahme sein, ist aber nicht in jedem Einzelfall allein ausreichend und macht die Daten nicht anonym. Schlüssel und Forschungsdaten sind getrennt zu halten; der Zugriff auf den Schlüssel sollte besonders begrenzt sein. Eine später beabsichtigte Weitergabe an eine andere Forschungsgruppe braucht eine neue Prüfung von Zweck, Rechtsgrundlage, Empfänger und möglichen Drittlandtransfers.

Für ein Forschungsprojekt lohnt ein Datenplan vor dem ersten Import: Welche Variablen werden benötigt? Lassen sich seltene Merkmalskombinationen vergröbern? Wer darf Rohdaten sehen, wer nur aggregierte Ergebnisse? Wie werden Teilnehmende informiert, und wie werden Anfragen oder Widerrufe bearbeitet, soweit sie einschlägig sind? Die Antwort auf diese Fragen hängt auch von Fachrecht und den verwendeten Ausnahmetatbeständen ab. Der EDPB-Konsultationsentwurf 1/2026 zur wissenschaftlichen Forschung behandelt mögliche Schutzvorkehrungen und nationale Bedingungen, ist aber keine endgültige Leitlinie; für konkrete Projekte bleiben Artikel 9, Artikel 89 und das geltende Fachrecht maßgeblich.

14. Eine überprüfbare Freigabe vor Produktionsstart

Vor Freigabe eines neuen Prozesses sollte die verantwortliche Fachabteilung ein kurzes Dossier vorlegen. Es enthält den beschriebenen Zweck, die beiden Rechtsprüfungen nach Artikel 6 und 9, die minimierten Datenfelder, die Information der Betroffenen, den Empfängerkreis, eine dokumentierte Löschregel und ein Ergebnis zur DSFA. Die Datenschutzfunktion prüft diese Unterlagen; die operative Leitung entscheidet über Umsetzung und Ressourcen. Ein Ablehnen oder Zurückstellen ist möglich, wenn die Ausnahme unklar bleibt oder das System die notwendigen Zugriffsgrenzen nicht umsetzen kann.

Im laufenden Betrieb sind Änderungen genauso wichtig wie die Erstfreigabe. Ein zusätzlicher Analysezweck, eine neue Cloud-Region, ein externer Dienstleister oder eine biometrische Funktion kann die damalige Begründung entwerten. Daher sollte das Verzeichnis der Verarbeitungstätigkeiten eine verantwortliche Person und einen Prüftrigger pro Verarbeitung haben. Bei einem Vorfall wird neben der technischen Ursache gefragt, ob besondere Daten offengelegt wurden und ob die Meldeschwellen nach Artikel 33 erreicht sind.

Quellen und Abgrenzung

Maßgeblich sind Artikel 9 DSGVO im amtlichen Volltext, § 22 BDSG für die dort geregelten deutschen Fälle und die Veröffentlichungen der zuständigen Aufsicht. Eine Bußgeldobergrenze beschreibt nur den gesetzlichen Rahmen und sagt nichts über die Sanktion eines konkreten Falls. Einzelne Entscheidungen zu Beschäftigtendaten, Aufbewahrung oder Videoüberwachung lassen sich ohne Prüfung ihres Tatbestands nicht als Beleg für eine Verletzung des Artikels 9 verwenden. Auch Leitlinien sind Auslegungshilfen, keine zusätzliche selbständige Rechtsgrundlage.

Vier Grenzfälle, in denen die Kategorie leicht übersehen wird

Krankschreibung im Personalwesen: Nicht erst die Diagnose ist ein Gesundheitsdatum. Schon die Information, dass eine bestimmte Person arbeitsunfähig ist, kann Angaben zum Gesundheitszustand offenbaren. Die Personalabteilung sollte deshalb nicht dieselbe Leseberechtigung wie alle Führungskräfte haben. Für die Einsatzplanung kann die voraussichtliche Abwesenheit genügen; die ärztliche Bescheinigung oder andere Details gehören in einen enger begrenzten Prozess. Die Anleitung für Beschäftigtendaten erläutert, wie solche Zwecke getrennt werden.

Fotos und Gesichtserkennung: Ein Foto ist personenbezogen, wenn die Person identifizierbar ist. Es wird aber nicht bei jeder Bildverarbeitung schon zum biometrischen Datum im Sinn von Artikel 9. Entscheidend ist, ob eine spezielle technische Verarbeitung zur eindeutigen Identifizierung oder Bestätigung der Identität eingesetzt wird. Ein Unternehmen, das eine Gesichtserkennung für Zutritt plant, sollte Zweck, Alternativen, gespeicherte Templates, Fehlerraten, Zugriff und Löschung vor der Beschaffung prüfen. Ein allgemeiner Hinweis „KI im Einsatz“ ist für diese rechtliche Prüfung zu wenig. Die Grundsätze von Datenschutz durch Technikgestaltung helfen bei der Wahl weniger eingriffsintensiver Varianten.

Vereinslisten: Eine einfache Mitgliederliste ist nicht immer sensibel; die Mitgliedschaft in einer politischen Partei, einer Gewerkschaft oder einer religiösen Organisation kann jedoch unmittelbar eine Kategorie aus Artikel 9 offenbaren. Der Zugang zu solchen Listen muss am tatsächlichen Vereinszweck ausgerichtet sein. Das Weitergeben an Sponsoren oder Partner ist nicht schon durch den Vereinsbeitritt gedeckt. Für kleine Vereine ist eine konkrete Rollenliste mit nur wenigen berechtigten Personen oft wirksamer als ein gemeinsames Passwort für alle Ehrenamtlichen.

Indirekte Schlüsse durch Analyse: Ein Unternehmen kann sensible Merkmale aus scheinbar gewöhnlichen Daten ableiten, etwa aus wiederkehrenden Terminen in einer Spezialambulanz. Der Schutz darf nicht davon abhängen, ob im Datensatz ausdrücklich „Diagnose“ steht. Vor einer neuen Analyse sollte geprüft werden, welche Merkmale die Ergebnisse offenbaren können und ob der Zweck ohne diese Rückschlüsse erreichbar ist. Aggregation ist nur dann eine tragfähige Entlastung, wenn eine Reidentifizierung praktisch ausgeschlossen ist; Pseudonyme bleiben personenbezogene Daten, solange eine Zuordnung möglich ist.

Für alle vier Fälle gilt dieselbe Kontrollfrage: Wer entscheidet über den Zweck, welche Artikel-6-Grundlage und Artikel-9-Ausnahme tragen ihn, wer sieht die Daten, wann enden die Zugriffe und welche Nachweise belegen die Entscheidung? Eine solche Fallakte kann knapp sein, muss aber den konkreten Prozess statt allgemeiner „sensibler Daten“ beschreiben. Bei unklarem hohem Risiko ist die Prüfung nach Artikel 35 vor Produktionsstart durchzuführen. Wird später eine Datenpanne bekannt, hilft dieselbe Fallakte, das Risiko für Betroffene schnell zu bestimmen und die Meldung einer Datenpanne fallbezogen vorzubereiten.

Der Prüfprozess sollte auch die Löschung und Rückgabe abdecken. Ein Krankenhaus, das einen externen Dienst ablöst, muss wissen, welche Kopien in Testsystemen, Exporten und Backups weiter bestehen und welche gesetzlichen Dokumentationspflichten einer sofortigen Entfernung entgegenstehen. Ein Forschungsteam muss vor Projektende klären, welche Daten anonymisiert werden können, welche zu löschen sind und wer den Zuordnungsschlüssel verwahrt. Solche Entscheidungen dürfen nicht erst am letzten Vertragstag fallen. Ein festgelegter Abschlussprozess mit Verantwortlichem, Datenliste und Bestätigung des Dienstleisters macht die Schutzmaßnahmen nachprüfbar. Falls Betroffene Auskunft oder Löschung verlangen, kann das Team anhand dieser Liste erklären, wo Daten noch vorhanden sind und warum.

FAQ

Was sind besondere Kategorien?

Rasse/ethnische Herkunft, politische Meinung, Religion/Weltanschauung, Gewerkschaft, Genetik, Biometrie zur Identifikation, Gesundheit, Sexualleben/-orientierung.

Ist Verarbeitung absolut verboten?

Grundsätzlich ja, außer eine der 10 Ausnahmen in Art. 9 Abs. 2 greift.

Reicht normale Einwilligung?

Nein — Art. 9 verlangt “ausdrückliche” Einwilligung mit höheren Anforderungen als Art. 6 lit. a.

Brauche ich DSFA bei Gesundheitsdaten?

Nicht automatisch in jedem Fall. Eine DSFA ist bei voraussichtlich hohem Risiko erforderlich; Umfang und Art der Verarbeitung sowie die Listen der zuständigen Aufsicht sind zu prüfen.

Ist Fingerabdruck biometrisch nach Art. 9?

Biometrische Daten fallen unter Artikel 9, wenn sie durch spezielle technische Verfahren zur eindeutigen Identifizierung einer Person verarbeitet werden. Bei einer lokalen Geräteentsperrung sind Rolle, Zweck, Speicherort und Zugriff konkret zu prüfen.

Wer überwacht die Einhaltung dieses Artikels in Deutschland?

Primär die zuständige Landesdatenschutzbehörde am Sitz des Verantwortlichen (Art. 55 DSGVO). Bei grenzüberschreitenden Verfahren greift One-Stop-Shop nach Art. 56 mit Federführung der Hauptniederlassungs-Behörde. Bundesbehörden, Telekommunikation und Post unterliegen dem BfDI. Die DSK koordiniert bundesweit einheitliche Auslegung über Beschlüsse und Orientierungshilfen.

Welche Bußgelder drohen bei Verstößen?

Nach Art. 83 Abs. 5 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes — je nachdem, welcher Betrag höher ist. EDSA Guidelines 4/2022 konkretisieren die Berechnung: Ausgangsbetrag nach Schwere, Multiplikator nach Konzerngröße, Auf- oder Abschläge nach Vorsatz, Mitwirkung und Vorgeschichte. Die konkrete Sanktion hängt vom nachgewiesenen Verstoß und den Umständen des Einzelfalls ab; allgemeine Höchstbeträge belegen keine bestimmte Entscheidung zu Artikel 9.

Wie verhält sich die Norm zum BDSG?

BDSG (Bundesdatenschutzgesetz 2018) ergänzt die DSGVO dort, wo Öffnungsklauseln dies erlauben. Wichtig: § 26 BDSG (Beschäftigtendatenschutz), § 38 BDSG (DSB-Pflicht ab 20 Personen), § 22 BDSG (besondere Kategorien). Für einen konkreten Verarbeitungsvorgang sind insbesondere die Voraussetzungen des § 22 BDSG und die einschlägige fachrechtliche Erlaubnis zu prüfen.

Welche EuGH-Urteile sollte ich kennen?

Für die Abgrenzung besonderer Kategorien ist insbesondere C-184/20 relevant, weil auch indirekt offenbarte sensible Angaben in die Prüfung fallen können. Für die konkrete Verarbeitung sind außerdem der Wortlaut des Artikels 9, das einschlägige Fachrecht und die aktuelle Praxis der zuständigen Aufsicht zu prüfen; ein Urteil zu Drittlandtransfers ersetzt diese Prüfung nicht.

Wie sieht ein typischer Compliance-Workflow aus?

Bestandsaufnahme über Art. 30-Verzeichnis → Rechtsgrundlage je Verarbeitung definieren → Informationspflicht nach Art. 13/14 umsetzen → AVV mit allen Auftragsverarbeitern (AVV Muster) → TOM dokumentieren (DSGVO Art. 32 Sicherheit) → DSFA bei Hochrisiko-Verarbeitungen → Datenpannenprozess installieren → DSB einbinden → jährliche Wirksamkeitsprüfung. Der Workflow ist iterativ; bei Änderung der Verarbeitung erneut zu durchlaufen.