--- title: DSGVO Art. 9 (VO 2016/679) – Besondere Kategorien personenbezogener Daten (Gesundheitsdaten, Biometrie & Co.) seo_title: DSGVO Art. 9 – Besondere Kategorien personenbezogener Daten slug: dsgvo-art-9-gesundheitsdaten-besondere-kategorien topic: datenschutz authority_level: A legal_status: in_force valid_from: 2018-05-25 valid_to: null last_reviewed: 2026-08-14 status: aktuell license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-art-9-gesundheitsdaten-besondere-kategorien.md wikidata_subjects: [Q1172506] factcheck_status: ok --- # DSGVO Art. 9 (VO 2016/679) – Besondere Kategorien personenbezogener Daten (Gesundheitsdaten, Biometrie & Co.) ## Kurzantwort **Artikel 9 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** stellt die Verarbeitung besonders sensibler Daten unter ein **grundsätzliches Verbot mit Erlaubnisvorbehalt**. Nach **Art. 9 Abs. 1** ist die Verarbeitung von Daten, aus denen **rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen** oder die **Gewerkschaftszugehörigkeit** hervorgehen, sowie die Verarbeitung von **genetischen Daten**, **biometrischen Daten zur eindeutigen Identifizierung**, **Gesundheitsdaten** und **Daten zum Sexualleben oder zur sexuellen Orientierung** **untersagt**. Erlaubt ist die Verarbeitung nur, wenn **einer der zehn abschließend aufgezählten Ausnahmetatbestände des Art. 9 Abs. 2 (lit. a–j)** greift – etwa die **ausdrückliche Einwilligung** (lit. a), Pflichten aus dem **Arbeits- und Sozialrecht** (lit. b), der Schutz **lebenswichtiger Interessen** (lit. c), die **offensichtliche Veröffentlichung durch die betroffene Person** (lit. e), die **Geltendmachung von Rechtsansprüchen** (lit. f), ein **erhebliches öffentliches Interesse** (lit. g), Zwecke der **Gesundheitsvorsorge, Diagnostik und Behandlung** (lit. h) oder die **öffentliche Gesundheit** (lit. i). Wichtig: Art. 9 tritt **zusätzlich** zu einer Rechtsgrundlage aus Art. 6 DSGVO. Beide Ebenen müssen **kumulativ** erfüllt sein. Als **Verordnung** gilt die DSGVO **unmittelbar** in Deutschland; über die **Öffnungsklauseln** des Art. 9 (Abs. 2 lit. b, g, h, i, j und Abs. 4) hat der deutsche Gesetzgeber ergänzende Vorschriften erlassen, insbesondere **§ 22 BDSG**. Verstöße gegen Art. 9 sind der **höchsten Bußgeldkategorie** zugeordnet: **bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (Art. 83 Abs. 5 lit. a). ## Kernfakten | Punkt | Wert | |---|---| | Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), **Art. 9** [EUR-Lex, CELEX:32016R0679] | | Rechtsnatur | **Verordnung** → unmittelbar anwendbar in Deutschland (keine Umsetzung nötig) | | Geltungsbeginn | **25. Mai 2018** | | Grundprinzip | **Verbot mit Erlaubnisvorbehalt** (Art. 9 Abs. 1) | | Sensible Datenarten (Art. 9 Abs. 1) | rassische/ethnische Herkunft; politische Meinungen; religiöse/weltanschauliche Überzeugungen; Gewerkschaftszugehörigkeit; **genetische Daten**; **biometrische Daten zur eindeutigen Identifizierung**; **Gesundheitsdaten**; Sexualleben / sexuelle Orientierung | | Ausnahmen | **abschließender** Katalog Art. 9 Abs. 2 **lit. a–j** (10 Tatbestände) | | Ausdrückliche Einwilligung | Art. 9 Abs. 2 **lit. a** – höhere Anforderung als „normale" Einwilligung (Art. 7) | | Beschäftigten-/Sozialrecht | Art. 9 Abs. 2 **lit. b** → national **§ 26 Abs. 3 BDSG**, **§ 22 Abs. 1 Nr. 1 lit. b BDSG** | | Gesundheitsversorgung | Art. 9 Abs. 2 **lit. h** i. V. m. **Abs. 3** (Berufsgeheimnis) → **§ 22 Abs. 1 Nr. 1 lit. b BDSG** | | Definition Gesundheitsdaten | Art. 4 **Nr. 15** + Erwägungsgrund 35 | | Definition genetische Daten | Art. 4 **Nr. 13** | | Definition biometrische Daten | Art. 4 **Nr. 14** (sensibel nur bei **eindeutiger Identifizierung**) | | Öffnungsklauseln | Art. 9 Abs. 2 lit. b, g, h, i, j **und Abs. 4** → **§ 22 BDSG** | | Zusätzlich erforderlich | **immer** auch eine Rechtsgrundlage nach **Art. 6 Abs. 1** (kumulativ) | | Bußgeldrahmen | **bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** [Art. 83 Abs. 5 lit. a] | | EuGH – Gesundheitsdaten bei Arzneimittelbestellung | **C-21/23 (Lindenapotheke)**, Urteil **04.10.2024** | | EuGH – sensible Daten & Datenminimierung (Werbung) | **C-446/21 (Schrems / Meta)**, Urteil **04.10.2024** | | Erfasster Kreis | **alle** Verantwortlichen und Auftragsverarbeiter, die sensible Daten verarbeiten (Ärzte, Apotheken, Vereine, Arbeitgeber, Plattformen, Versicherer) | ## Geltungsbereich Art. 9 gilt für **jede** Stelle – öffentlich wie privat –, die eine der acht besonderen Datenkategorien verarbeitet. Praktisch besonders betroffen sind **Ärzt:innen, Apotheken, Krankenhäuser, Pflegedienste, Kranken- und Lebensversicherer** (Gesundheitsdaten), **Arbeitgeber** (Krankmeldungen, Schwerbehinderung, Gewerkschaftszugehörigkeit), **Vereine und Parteien** (weltanschauliche/politische Ausrichtung, Religion), **Fitness- und Gesundheits-Apps** sowie **Online-Plattformen**, die auf sensible Merkmale schließen können. Als **Verordnung** wirkt die DSGVO **unmittelbar** – ein nationales Umsetzungsgesetz ist nicht erforderlich. Wo Art. 9 jedoch **Öffnungsklauseln** enthält (Abs. 2 lit. b, g, h, i, j sowie Abs. 4), darf und muss der nationale Gesetzgeber konkretisieren. Deutschland hat dies vor allem in **§ 22 BDSG** getan (u. a. für Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik, der Sozialverwaltung und zur Abwehr erheblicher Gefahren) und verlangt dort **„angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person"** (Maßnahmenkatalog in **§ 22 Abs. 2 BDSG**, z. B. Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkung, Benennung von Datenschutzbeauftragten). ## Detail: Die acht sensiblen Datenkategorien **Art. 9 Abs. 1** benennt abschließend acht Kategorien. Eine Besonderheit gilt für **biometrische Daten** (Art. 4 Nr. 14): Sie fallen **nur dann** unter Art. 9, wenn sie **zur eindeutigen Identifizierung** einer natürlichen Person verarbeitet werden (z. B. Fingerabdruck-Login, Gesichtserkennung). Ein bloßes Foto ist nicht automatisch ein biometrisches Datum im Sinne des Art. 9. **Gesundheitsdaten** (Art. 4 Nr. 15, Erwägungsgrund 35) umfassen **alle** Informationen über den körperlichen oder geistigen Gesundheitszustand – Vergangenheit, Gegenwart und Zukunft –, einschließlich Diagnosen, Befunden, Medikamentenplänen, Krankschreibungen und Behandlungsinformationen. Der **EuGH** hat in **C-21/23 (Lindenapotheke)** vom **4. Oktober 2024** klargestellt, dass bereits die bei der **Online-Bestellung apothekenpflichtiger, aber rezeptfreier Arzneimittel** eingegebenen Daten (Name, Lieferadresse, bestellte Präparate) **Gesundheitsdaten** nach Art. 9 Abs. 1 sind – auch ohne ärztliche Verschreibung –, weil sich daraus per **gedanklicher Kombination** auf den Gesundheitszustand schließen lässt. ## Detail: Die zehn Ausnahmen (Art. 9 Abs. 2 lit. a–j) Die Verarbeitung ist nur zulässig, wenn **eine** der folgenden Ausnahmen greift (Auswahl der praxisrelevanten): - **lit. a – Ausdrückliche Einwilligung:** Sie muss sich **explizit** auf die sensible Verarbeitung beziehen und die üblichen Anforderungen des Art. 7 (freiwillig, informiert, nachweisbar, widerrufbar) erfüllen – „ausdrücklich" heißt: höhere Bestimmtheit als bei einer normalen Einwilligung. - **lit. b – Arbeits-, Sozial- und Sozialschutzrecht:** national konkretisiert in **§ 26 Abs. 3 BDSG** (Beschäftigtenkontext) und **§ 22 Abs. 1 Nr. 1 lit. b BDSG**. - **lit. c – Lebenswichtige Interessen** einer Person, die einwilligungsunfähig ist (z. B. Notfallmedizin). - **lit. d – Stiftungen, Vereine, Organisationen** mit politischer, weltanschaulicher, religiöser oder gewerkschaftlicher Ausrichtung für ihre Mitglieder. - **lit. e – Offensichtliche Veröffentlichung** der Daten durch die betroffene Person selbst. - **lit. f – Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen** (Gerichtsverfahren). - **lit. g – Erhebliches öffentliches Interesse** auf Grundlage von EU- oder mitgliedstaatlichem Recht. - **lit. h – Gesundheitsvorsorge, Arbeitsmedizin, medizinische Diagnostik, Versorgung/Behandlung** – **nur** unter der Zusatzvoraussetzung des **Art. 9 Abs. 3** (Verarbeitung durch dem **Berufsgeheimnis** unterliegendes Fachpersonal). - **lit. i – Öffentliche Gesundheit** (z. B. Schutz vor grenzüberschreitenden Gesundheitsgefahren). - **lit. j – Archiv-, Forschungs- und Statistikzwecke** (Art. 89 Abs. 1). Der Katalog ist **abschließend**: Fehlt jede dieser Ausnahmen, bleibt es beim **Verbot** – unabhängig davon, ob eine Rechtsgrundlage nach Art. 6 vorläge. ## Detail: EuGH-Rechtsprechung 2024 Zwei am **4. Oktober 2024** verkündete EuGH-Urteile schärfen die Auslegung des Art. 9: - **C-21/23 (Lindenapotheke):** Daten bei der Online-Arzneimittelbestellung sind **Gesundheitsdaten**; zugleich stehen der DSGVO **wettbewerbsrechtliche Klagen von Mitbewerbern** gegen Datenschutzverstöße **nicht entgegen** – ein Konkurrent kann einen Verstoß als unlautere Geschäftspraxis gerichtlich verfolgen. - **C-446/21 (Schrems / Meta):** Ein soziales Netzwerk darf personenbezogene Daten **nicht zeitlich unbegrenzt und undifferenziert** für **personalisierte Werbung** verwenden (**Datenminimierung**, Art. 5 Abs. 1 lit. c). Der Umstand, dass Herr Schrems seine **sexuelle Orientierung** bei einer öffentlichen Podiumsdiskussion offengelegt hat (Art. 9 Abs. 2 lit. e), erlaubt es **nicht**, **andere** Daten über seine sexuelle Orientierung zusammenzuführen und für Werbung auszuwerten. ## Häufige Fehler - **Nur Art. 6 geprüft:** Für sensible Daten wird eine Rechtsgrundlage nach Art. 6 gesucht, die **zusätzlich** nötige Ausnahme des Art. 9 Abs. 2 aber vergessen. Beide Ebenen sind **kumulativ**. - **„Einfache" statt ausdrücklicher Einwilligung:** Eine allgemeine Einwilligung genügt für Art. 9 nicht – erforderlich ist eine **ausdrückliche**, gerade auf die sensible Verarbeitung bezogene Einwilligung (lit. a). - **Gesundheitsdaten unterschätzt:** Auch **abgeleitete** Informationen (Bestelldaten, App-Nutzung, Fehlzeiten) können Gesundheitsdaten sein (EuGH C-21/23). - **Biometrie pauschal als sensibel eingestuft:** Art. 9 greift **nur** bei Verarbeitung zur **eindeutigen Identifizierung** – nicht bei jedem Foto. - **Art. 9 Abs. 3 übersehen:** Die Behandlungs-Ausnahme (lit. h) setzt eine Verarbeitung durch **berufsgeheimnispflichtiges** Personal voraus. - **§ 22 Abs. 2 BDSG ignoriert:** Bei Verarbeitung sensibler Daten fehlen die dort geforderten **spezifischen Schutzmaßnahmen** (Verschlüsselung, Pseudonymisierung, Zugriffskonzepte). ## Quellen - Verordnung (EU) 2016/679 (DSGVO) – Art. 9, Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679#d1e2051-1-1 - Verordnung (EU) 2016/679 (DSGVO) – Art. 4 Nr. 13–15 (Begriffsbestimmungen), Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679#d1e1489-1-1 - Europäische Kommission – Was sind sensible Daten? (Special categories of personal data): https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/legal-grounds-processing-data_en - § 22 BDSG – Verarbeitung besonderer Kategorien personenbezogener Daten (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/__22.html - § 26 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/__26.html - EuGH, Urteil v. 4.10.2024, C-21/23 (Lindenapotheke) – Gesundheitsdaten bei Arzneimittelbestellung; wettbewerbsrechtliche Verfolgung (dejure.org): https://dejure.org/2024,26310 - EuGH, Urteil v. 4.10.2024, C-446/21 (Schrems / Meta Platforms) – sensible Daten, Datenminimierung, Werbung (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=04.10.2024&Aktenzeichen=C-446%2F21 ## Änderungsverlauf - 2026-08-06: Erstveröffentlichung der Faktenseite. Verbot mit Erlaubnisvorbehalt (Art. 9 Abs. 1), die acht sensiblen Datenkategorien, der abschließende Ausnahmekatalog (Art. 9 Abs. 2 lit. a–j), Art. 9 Abs. 3 (Berufsgeheimnis) sowie die nationale Konkretisierung über § 22 BDSG gegen EUR-Lex und EU-Kommission gegengeprüft; EuGH-Rechtsprechung C-21/23 (Lindenapotheke) und C-446/21 (Schrems/Meta), jeweils 04.10.2024, über dejure.org-Permalinks eingebunden. | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published" ## Stand - Stand: 2026-08-06 - Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO) - Status: aktuell - Quellenautorität: A (EUR-Lex, EU-Kommission, EuGH, § 22/§ 26 BDSG) - Lizenz: CC BY 4.0