Besondere Kategorien personenbezogener Daten

Definition: Besondere Kategorien personenbezogener Daten sind nach Art. 9 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) spezifische Datenkategorien, die aufgrund ihres besonderen Sensibilitätsgrades einem erhöhten Schutz unterliegen. Ihre Verarbeitung ist grundsätzlich verboten und nur in den abschließend aufgezählten Ausnahmefällen des Art. 9 Abs. 2 DSGVO zulässig. Der Katalog umfasst: Daten, aus denen die rassische oder ethnische Herkunft hervorgeht; Daten über politische Meinungen; Daten über religiöse oder weltanschauliche Überzeugungen; Daten über die Gewerkschaftszugehörigkeit; genetische Daten; biometrische Daten, die zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden; Gesundheitsdaten; Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person. Diese Datenkategorien genießen besonderen Schutz, weil ihre Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten der Betroffenen mit sich bringen kann – von Diskriminierung über berufliche Nachteile bis hin zu physischen Gefahren. Im Online Marketing ist die Verarbeitung dieser Daten zwar selten explizit beabsichtigt, kann aber durch indirekte Rückschlüsse aus anderen Daten unbeabsichtigt erfolgen.

Erläuterung

Der besondere Schutzstatus dieser Datenkategorien hat historische Wurzeln: Die Erfahrungen mit politischer Verfolgung, religiöser Diskriminierung und ethnischer Unterdrückung haben den europäischen Gesetzgeber veranlasst, diese Kategorien einer strengeren Schutzregelung zu unterwerfen als gewöhnliche personenbezogene Daten. Die DSGVO geht hierbei weiter als das frühere nationale Datenschutzrecht.

Für die Verarbeitung ist eine der in Art. 9 Abs. 2 DSGVO genannten Ausnahmen erforderlich. Die für das Online Marketing relevanteste Ausnahme ist die ausdrückliche Einwilligung der betroffenen Person (lit. a). Diese muss noch strengeren Anforderungen genügen als die reguläre Einwilligung nach Art. 6 DSGVO: Sie muss explizit die besonderen Datenkategorien benennen und kann nicht durch konkludentes Verhalten erteilt werden. Weitere Ausnahmen betreffen arbeitsrechtliche Pflichten, lebenswichtige Interessen, Tätigkeiten von Nichtregierungsorganisationen, öffentlich zugängliche Daten, Rechtsansprüche, erhebliche öffentliche Interessen, Gesundheitsversorgung, öffentliche Gesundheit und wissenschaftliche Forschung.

Im Online Marketing und digitalen Werbeumfeld sind besondere Datenkategorien problematisch, weil Targeting-Systeme oft indirekte Rückschlüsse auf diese Kategorien ermöglichen. Wer beispielsweise eine Gesundheits-App nutzt, bestimmte religiöse Websites besucht oder politische Inhalte konsumiert, hinterlässt digitale Spuren, aus denen sich Informationen über Gesundheitszustand, Religion oder politische Einstellung ableiten lassen. Europäische Datenschutzbehörden haben deutlich gemacht, dass auch solche indirekten Rückschlüsse als Verarbeitung besonderer Datenkategorien anzusehen sein können, wenn sie systematisch erfolgen.

Meta musste auf Druck der irischen Datenschutzbehörde DPC bestimmte Targeting-Optionen auf Basis religiöser Zugehörigkeit, politischer Meinungen und Gesundheitszustand einschränken oder entfernen. Google hat in seinem Werbeanzeigen-System ebenfalls Einschränkungen für sensibles Targeting eingeführt. Werbetreibende im Online Marketing müssen daher sehr sorgfältig prüfen, welche Zielgruppen-Targeting-Optionen sie auf Werbeplattformen nutzen und ob dabei mittelbar besondere Datenkategorien verarbeitet werden.

Kategorien im Überblick nach Art. 9 Abs. 1 DSGVO

• Rassische und ethnische Herkunft: Daten, aus denen die Zugehörigkeit zu einer bestimmten ethnischen Gruppe hervorgeht oder abgeleitet werden kann.
• Politische Meinungen: Parteimitgliedschaften, politische Aussagen, Wahlverhalten oder politisches Engagement.
• Religiöse oder weltanschauliche Überzeugungen: Kirchenzugehörigkeit, Glaubenspraxis, Mitgliedschaft in Weltanschauungsgemeinschaften.
• Gewerkschaftszugehörigkeit: Mitgliedschaft in Gewerkschaften oder vergleichbaren Berufsverbänden.
• Genetische Daten: Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer Person (z. B. DNA-Analysen).
• Biometrische Daten: Technische Verarbeitung physischer, physiologischer oder verhaltenstypischer Merkmale zur eindeutigen Identifizierung (z. B. Fingerabdruck, Gesichtserkennung, Iris-Scan).
• Gesundheitsdaten: Alle Daten, die Informationen zum physischen oder psychischen Gesundheitszustand enthalten (z. B. Diagnosen, Medikamente, Behinderungen, Krankenversicherungsdaten).
• Daten zum Sexualleben und zur sexuellen Orientierung: Angaben zur sexuellen Identität, zu Beziehungsformen oder zum Sexualleben.

Relevanz für das Online Marketing

• Gesundheits- und Pharmamarketing: Werbung für Medikamente, Nahrungsergänzungsmittel oder medizinische Dienstleistungen berührt Gesundheitsdaten – besondere Vorsicht beim Retargeting von Nutzern, die Gesundheitsinhalte konsumiert haben.
• Zielgruppen-Targeting: Targeting auf Basis von Gesundheitszustand, Religion oder politischer Meinung ist ohne ausdrückliche Einwilligung unzulässig und auf vielen Plattformen eingeschränkt oder verboten.
• App-Marketing: Gesundheits-, Dating- oder religiöse Apps verarbeiten typischerweise besondere Datenkategorien – für Marketing-Zwecke ist eine ausdrückliche Einwilligung erforderlich.
• Datenschutz-Folgenabschätzung (DSFA): Die Verarbeitung besonderer Datenkategorien löst in der Regel die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO aus.