Nexvyra

DSGVO Art. 9 (VO 2016/679) – Besondere Kategorien personenbezogener Daten (Gesundheitsdaten, Biometrie & Co.)

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-14 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Artikel 9 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) stellt die Verarbeitung besonders sensibler Daten unter ein grundsätzliches Verbot mit Erlaubnisvorbehalt. Nach Art. 9 Abs. 1 ist die Verarbeitung von Daten, aus denen rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung untersagt.

Erlaubt ist die Verarbeitung nur, wenn einer der zehn abschließend aufgezählten Ausnahmetatbestände des Art. 9 Abs. 2 (lit. a–j) greift – etwa die ausdrückliche Einwilligung (lit. a), Pflichten aus dem Arbeits- und Sozialrecht (lit. b), der Schutz lebenswichtiger Interessen (lit. c), die offensichtliche Veröffentlichung durch die betroffene Person (lit. e), die Geltendmachung von Rechtsansprüchen (lit. f), ein erhebliches öffentliches Interesse (lit. g), Zwecke der Gesundheitsvorsorge, Diagnostik und Behandlung (lit. h) oder die öffentliche Gesundheit (lit. i).

Wichtig: Art. 9 tritt zusätzlich zu einer Rechtsgrundlage aus Art. 6 DSGVO. Beide Ebenen müssen kumulativ erfüllt sein. Als Verordnung gilt die DSGVO unmittelbar in Deutschland; über die Öffnungsklauseln des Art. 9 (Abs. 2 lit. b, g, h, i, j und Abs. 4) hat der deutsche Gesetzgeber ergänzende Vorschriften erlassen, insbesondere § 22 BDSG. Verstöße gegen Art. 9 sind der höchsten Bußgeldkategorie zugeordnet: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. a).

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2016/679 (DSGVO), Art. 9 [EUR-Lex, CELEX:32016R0679]
RechtsnaturVerordnung → unmittelbar anwendbar in Deutschland (keine Umsetzung nötig)
Geltungsbeginn25. Mai 2018
GrundprinzipVerbot mit Erlaubnisvorbehalt (Art. 9 Abs. 1)
Sensible Datenarten (Art. 9 Abs. 1)rassische/ethnische Herkunft; politische Meinungen; religiöse/weltanschauliche Überzeugungen; Gewerkschaftszugehörigkeit; genetische Daten; biometrische Daten zur eindeutigen Identifizierung; Gesundheitsdaten; Sexualleben / sexuelle Orientierung
Ausnahmenabschließender Katalog Art. 9 Abs. 2 lit. a–j (10 Tatbestände)
Ausdrückliche EinwilligungArt. 9 Abs. 2 lit. a – höhere Anforderung als „normale" Einwilligung (Art. 7)
Beschäftigten-/SozialrechtArt. 9 Abs. 2 lit. b → national § 26 Abs. 3 BDSG, § 22 Abs. 1 Nr. 1 lit. b BDSG
GesundheitsversorgungArt. 9 Abs. 2 lit. h i. V. m. Abs. 3 (Berufsgeheimnis) → § 22 Abs. 1 Nr. 1 lit. b BDSG
Definition GesundheitsdatenArt. 4 Nr. 15 + Erwägungsgrund 35
Definition genetische DatenArt. 4 Nr. 13
Definition biometrische DatenArt. 4 Nr. 14 (sensibel nur bei eindeutiger Identifizierung)
ÖffnungsklauselnArt. 9 Abs. 2 lit. b, g, h, i, j und Abs. 4 → § 22 BDSG
Zusätzlich erforderlichimmer auch eine Rechtsgrundlage nach Art. 6 Abs. 1 (kumulativ)
Bußgeldrahmenbis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 lit. a]
EuGH – Gesundheitsdaten bei ArzneimittelbestellungC-21/23 (Lindenapotheke), Urteil 04.10.2024
EuGH – sensible Daten & Datenminimierung (Werbung)C-446/21 (Schrems / Meta), Urteil 04.10.2024
Erfasster Kreisalle Verantwortlichen und Auftragsverarbeiter, die sensible Daten verarbeiten (Ärzte, Apotheken, Vereine, Arbeitgeber, Plattformen, Versicherer)

Geltungsbereich

Art. 9 gilt für jede Stelle – öffentlich wie privat –, die eine der acht besonderen Datenkategorien verarbeitet. Praktisch besonders betroffen sind Ärzt:innen, Apotheken, Krankenhäuser, Pflegedienste, Kranken- und Lebensversicherer (Gesundheitsdaten), Arbeitgeber (Krankmeldungen, Schwerbehinderung, Gewerkschaftszugehörigkeit), Vereine und Parteien (weltanschauliche/politische Ausrichtung, Religion), Fitness- und Gesundheits-Apps sowie Online-Plattformen, die auf sensible Merkmale schließen können.

Als Verordnung wirkt die DSGVO unmittelbar – ein nationales Umsetzungsgesetz ist nicht erforderlich. Wo Art. 9 jedoch Öffnungsklauseln enthält (Abs. 2 lit. b, g, h, i, j sowie Abs. 4), darf und muss der nationale Gesetzgeber konkretisieren. Deutschland hat dies vor allem in § 22 BDSG getan (u. a. für Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik, der Sozialverwaltung und zur Abwehr erheblicher Gefahren) und verlangt dort „angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person" (Maßnahmenkatalog in § 22 Abs. 2 BDSG, z. B. Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkung, Benennung von Datenschutzbeauftragten).

Detail: Die acht sensiblen Datenkategorien

Art. 9 Abs. 1 benennt abschließend acht Kategorien. Eine Besonderheit gilt für biometrische Daten (Art. 4 Nr. 14): Sie fallen nur dann unter Art. 9, wenn sie zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden (z. B. Fingerabdruck-Login, Gesichtserkennung). Ein bloßes Foto ist nicht automatisch ein biometrisches Datum im Sinne des Art. 9.

Gesundheitsdaten (Art. 4 Nr. 15, Erwägungsgrund 35) umfassen alle Informationen über den körperlichen oder geistigen Gesundheitszustand – Vergangenheit, Gegenwart und Zukunft –, einschließlich Diagnosen, Befunden, Medikamentenplänen, Krankschreibungen und Behandlungsinformationen. Der EuGH hat in C-21/23 (Lindenapotheke) vom 4. Oktober 2024 klargestellt, dass bereits die bei der Online-Bestellung apothekenpflichtiger, aber rezeptfreier Arzneimittel eingegebenen Daten (Name, Lieferadresse, bestellte Präparate) Gesundheitsdaten nach Art. 9 Abs. 1 sind – auch ohne ärztliche Verschreibung –, weil sich daraus per gedanklicher Kombination auf den Gesundheitszustand schließen lässt.

Detail: Die zehn Ausnahmen (Art. 9 Abs. 2 lit. a–j)

Die Verarbeitung ist nur zulässig, wenn eine der folgenden Ausnahmen greift (Auswahl der praxisrelevanten):

Der Katalog ist abschließend: Fehlt jede dieser Ausnahmen, bleibt es beim Verbot – unabhängig davon, ob eine Rechtsgrundlage nach Art. 6 vorläge.

Detail: EuGH-Rechtsprechung 2024

Zwei am 4. Oktober 2024 verkündete EuGH-Urteile schärfen die Auslegung des Art. 9:

Häufige Fehler

Quellen

Änderungsverlauf

Stand