David Klein - DS-GVO/BDSG

27

Art. 9richtet sich in erster Linie an den Verantwortlichen im Sinne des Art. 4 Nr. 7[81]. Daneben werden die Mitgliedstaaten insbesondere durch Art. 9 Abs. 2 lit b, g, hi.V.m. Abs. 2 lit. iund jsowie im Rahmen von Art. 9 Abs. 4angesprochen.[82]

28

Die Verarbeitung besonderer Kategorien personenbezogener Daten ist Ausfluss des abgestuften Schutzkonzepts der DS-GVO.[83] Dabei wiederholt Art. 9hinsichtlich der Verarbeitung sensibler Daten das aus Art. 6 Abs. 1(sowie Art. 8 DSRL) bekannte Verbot mit Erlaubnisvorbehalt. Zum Konkurrenzverhältnis zwischen Art. 6und 9vgl. die Ausführungen in Rn. 20ff.

29

So unterliegt die Verarbeitung der in Art. 9 Abs. 1benannten besonders schutzwürdigen personenbezogenen Daten einem grundsätzlichen Verarbeitungsverbot ( Abs. 1), soweit nicht einer der in Art. 9 Abs. 2abschließend normierten Ausnahmetatbestände einschlägig ist.[84] Art. 9 Abs. 2und 3beinhalten dabei zusätzliche Bedingungen für eine Verarbeitung sensibler Daten. Art. 9 Abs. 3bezieht sich insbesondere auf Datenverarbeitungen im Gesundheitsbereich, während Art. 9 Abs. 4besondere Bedingungen für die Verarbeitung genetischer, biometrischer und Gesundheitsdaten festlegt.[85]

30

Art. 9entfaltet gegenüber Art. 6 Abs. 1insoweit eine Sperrwirkung, als dass insbesondere die allgemeine Interessenabwägungsklausel des Art. 6 Abs. 1 lit. faber auch die sonstigen gesetzlichen Erlaubnistatbestände des Art. 6nicht als Grundlage für eine Verarbeitung sensitiver Daten herangezogen werden kann.

31

Die Ausnahmen in Abs. 2werden durch zusätzliche Möglichkeiten nationalen Rechts konkretisiert. Besondere Bedeutung kommt hier § 22 BDSGzu, der von den Öffnungsklauseln des Art. 9Gebrauch macht.

32

Vor dem Hintergrund der Rechtsprechung des EuGH im Hinblick auf die Reichweite einer gemeinsamen Verantwortlichkeit[86] ist es auch im Rahmen von Art. 9bedeutsam, dass im Rahmen einer gemeinsamen Verantwortlichkeit jeder Verantwortliche für die vorgenommene Verarbeitung sensibler Daten einen eigenen Erlaubnistatbestand anführen können muss, der die Datenverarbeitung für den jeweiligen Verantwortlichen legitimiert.[87] Das für die beteiligten Akteure geltende Erfordernis der Rechtfertigungsbedürftigkeit der Datenverarbeitung verschärft sich dabei letztlich sogar im Rahmen von Art. 9, da Art. 9strengere Voraussetzungen enthält als Art. 6und insbesondere auch die zweckändernde Weiterverarbeitung nach Art. 6 Abs. 4i.R.d. Art. 9nicht ohne Weiteres anwendbar ist. Insofern muss im Rahmen einer gemeinsamen Verantwortlichkeit jeder Verantwortliche die Zulässigkeit der Datenverarbeitung anhand der Voraussetzungen von Art. 9begründen können.

33

Das grundsätzliche Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten folgt aus Art. 9 Abs. 1. Der Katalog der in Art. 9 Abs. 1aufgezählten Datenkategorien ist abschließend.[88]

34

Danach ist also die Verarbeitung personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt. Zu den unterschiedlichen Kategorien sensibler Daten im Rahmen von Art. 9 Abs. 1vgl. Rn. 26.

35

Dabei kommt es nicht auf die Zweckrichtung oder Zielsetzung der Daten oder deren Verarbeitung an und auch nicht darauf, ob sich die Datenverarbeitung möglicherweise positiv oder negativ für den Betroffenen auswirken kann. Eine strikt objektive Betrachtungsweise, die für eine Anwendbarkeit von Art. 9ausschließlich darauf abstellt, ob sich mit „hinlänglicher Sicherheit“ besonders sensible Daten aus Informationen herleiten lassen und so den Anwendungsbereich des Art. 9eröffnen, geht daher zu weit.[89] Zwar folgt Art. 9 Abs. 1einer gewissen Form der Pauschalisierung[90], entscheidend ist jedoch, dass die Zuordnung zu einer bestimmten Datenkategorie stets anhand des Schutzzwecks des Art. 9(Schutz vor Persönlichkeitsrechtsverletzungen und vor Diskriminierungen) erfolgt.[91] Es bedarf daher einer kontextbezogenen Betrachtungsweisebei der Zuordnung zu einer bestimmten Datenkategorie.[92] Die DSK weist dementsprechend darauf hin, dass nicht jede (mittelbare) Angabe zu sensiblen Daten unmittelbar den strengen Voraussetzungen von Art. 9unterfällt.[93] Entscheidend sei, ob die eindeutige Identifizierung der betroffenen Person im Vordergrund steheund damit letztlich eine besondere Zweckbestimmungerfolge.[94] Vgl. dazu auch Rn. 26sowie Rn. 165.

36

Das Begriffspaar der rassischen und ethnischen Herkunft zielt auf die Zugehörigkeit zu einer bestimmten Bevölkerungsgruppeab, die etwa durch die gemeinsame Herkunft, Kultur oder durch ein Zusammengehörigkeitsgefühl geprägt wird.[95] Informationen über die rassische Herkunft schließen dabei etwa Angaben über die Hautfarbe oder sonstige äußere Merkmale ein.[96]

37

Der Begriff der Ethniebezeichnet dabei eine Menschengruppe oder Minderheit mit einer einheitlichen Kultur und ist insofern nicht deckungsgleich mit dem Begriff der „Rasse“. Unter den Begriff der Ethnie fallen folglich etwa die Sprache sowie die kulturelle Beziehung eines Menschen zu seinen Vorfahren.[97]

38

Auch aus dem Namenlassen sich in Verbindung mit anderen Informationen unter Umständen eine rassische oder ethnische Herkunft ableiten.[98]

39

Kein Datum über die rassische oder ethnische Herkunft stellt etwa die Staatsangehörigkeit oder geographische Herkunft einer Person dar. Ebenso wenig stellt die Zugehörigkeit zu einer bestimmten sozialen Schicht ein Datum in diesem Sinne dar.[99]

40

Mit dieser Schutzkategorie sollen bei der Verarbeitung sensibler Daten Diskriminierungenentsprechend Art. 21 Abs. 1 GRCh bzw. Art. 3 Abs. 3 GG verhindert werden. Dies stellt auch ErwG 51 S. 2 Hs. 2 klar, indem erklärt wird, dass der Begriff der „rassischen Herkunft“ in der DS-GVO nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt.

41

Der rassischen und ethnischen Herkunft nachfolgend nennt der Katalog des Art. 9 Abs. 1Daten, aus denen die politische Meinungen des Betroffenen hervorgeht. Eine nähere Definition des Begriffs der politischen Meinungen enthält die DS-GVO nicht.

42

Der Begriff der politischen Meinung erstreckt sich dabei i.S. e. weiten Begriffsverständnisses nicht nur auf das bloße „ Haben“ einer politischen Meinung im Sinne der Unterstützung bzw. Ablehnung bestimmter Ideen, Ideale oder parteipolitischen Überzeugungen, sondern erfasst zugleich die Tätigkeitim Sinne dieser Meinung soweit sie im Einklang mit dem geltenden Recht erfolgt.[100]

43

Zu dieser Schutzkategorie gehört etwa die Zugehörigkeit zu einer politischen Partei, die Mitarbeit in politischen und ähnlichen Stiftungen oder Organisationen, die Teilnahme an Petitionen, Unterschriftenlisten im Rahmen eines Bürgerbegehrens oder das Engagement bei einer Versammlung oder Demonstration.[101]

44

Insofern weist diese Datenkategorie einen engen Bezug zum Schutz der Meinung(Art. 5 GG, Art. 11 GRCh) sowie zur Versammlungsfreiheit(Art. 8 GG, Art. 12 GRCh) auf.