Sensitive Daten

Definition: Sensitive Daten — in der Datenschutz-Grundverordnung als besondere Kategorien personenbezogener Daten bezeichnet — sind Informationen, die aufgrund ihrer Natur ein besonders hohes Risiko für die Grundrechte und Grundfreiheiten der betroffenen Personen begründen. Art. 9 Abs. 1 DSGVO etabliert für diese Datenkategorien ein grundsätzliches Verarbeitungsverbot, das nur durch enge, abschließend geregelte Ausnahmen des Art. 9 Abs. 2 DSGVO durchbrochen werden kann. Zu den sensitiven Datenkategorien zählen: Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten; biometrische Daten, die zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden; Gesundheitsdaten; Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person. Diese Kategorien wurden vom Gesetzgeber hervorgehoben, weil ihre unrechtmäßige Verarbeitung zu besonders gravierenden Nachteilen für Betroffene führen kann — von Diskriminierung über soziale Stigmatisierung bis hin zu unmittelbarer physischer Gefährdung in bestimmten politischen Kontexten.

Erläuterung

Der erhöhte Schutz sensitiver Daten ist Ausdruck des Verhältnismäßigkeitsprinzips im Datenschutzrecht: Je eingriffsintensiver eine Verarbeitung ist und je schwerwiegender die möglichen Folgen für Betroffene sein können, desto strenger die rechtlichen Anforderungen. Die DSGVO trägt damit dem Umstand Rechnung, dass bestimmte Informationen — wie die Gesundheit, die religiöse Überzeugung oder die sexuelle Orientierung — zur Existenz einer Person gehören und in besonderem Maße schutzwürdig sind.

Für das Online-Marketing ist die Relevanz sensitiver Daten auf mehreren Ebenen gegeben. Einerseits können Targeting-Merkmale auf Werbeplattformen direkt oder indirekt auf besondere Datenkategorien schließen lassen: Wer auf Meta oder Google nach Gesundheitsthemen targetet (z. B. Diabetes-Produkte, psychiatrische Erkrankungen), arbeitet faktisch mit Daten, die auf den Gesundheitszustand von Personen schließen lassen. Der Digital Services Act (DSA) hat in Art. 26 ausdrücklich das Targeting auf Basis besonderer Datenkategorien im Online-Advertising für sehr große Online-Plattformen verboten.

Andererseits können auch eigene First-Party-Daten sensitive Kategorien enthalten. Onlineshops für Medizinprodukte oder Apotheken, Fitness- und Gesundheits-Apps, Plattformen für religiöse Gemeinschaften oder politische Organisationen verarbeiten regelmäßig Daten, die unter Art. 9 DSGVO fallen. Diese Unternehmen müssen sicherstellen, dass sie sich auf eine der Ausnahmen des Art. 9 Abs. 2 DSGVO stützen können — in der Praxis am häufigsten die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

Ein besonderes Risiko besteht bei der indirekten Ableitung sensitiver Kategorien aus scheinbar harmlosen Daten. Kaufverhalten auf einer Plattform für religiöse Artikel, Fitnessdaten aus einer App oder Standortdaten, die regelmäßige Besuche in bestimmten Einrichtungen belegen, können ebenso auf besondere Datenkategorien schließen lassen wie direkte Angaben. Die Datenschutzaufsichtsbehörden haben in mehreren Fällen Verarbeitungen als Verarbeitung besonderer Datenkategorien eingestuft, obwohl die Verantwortlichen dies formal nicht so gesehen haben.

Die neun sensitiven Datenkategorien nach Art. 9 DSGVO

• Rassische und ethnische Herkunft: Informationen, aus denen die ethnische oder rassische Zugehörigkeit einer Person hervorgeht. Im Marketing besonders relevant bei der Analyse von Kaufverhalten oder der Gestaltung von Zielgruppen.
• Politische Meinungen: Daten über Parteizugehörigkeit, Wahlverhalten oder politische Überzeugungen. Politisches Micro-Targeting ist in der EU streng reguliert.
• Religiöse oder weltanschauliche Überzeugungen: Zugehörigkeit zu Religionsgemeinschaften, Weltanschauungen, spirituelle Praktiken. Im E-Commerce relevant bei Plattformen für religiöse Artikel oder Dienste.
• Gewerkschaftszugehörigkeit: Mitgliedschaft in Gewerkschaften oder Berufsverbänden. Im B2B-Marketing oder bei Diensten für Arbeitnehmer relevant.
• Genetische Daten: Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer Person. Relevant z. B. bei DNA-Analyse-Services oder medizinischen Plattformen.
• Biometrische Daten: Daten, die aus spezifischer technischer Verarbeitung zu physischen, physiologischen oder verhaltenstypischen Merkmalen einer Person gewonnen werden und die eindeutige Identifizierung ermöglichen (z. B. Fingerabdrücke, Gesichtserkennung, Stimmmuster).
• Gesundheitsdaten: Alle Informationen über den körperlichen oder geistigen Gesundheitszustand einer Person. Besonders kritisch im E-Health-Bereich, bei Apotheken-Onlineshops und Fitness-Apps.
• Sexualleben und sexuelle Orientierung: Daten zur sexuellen Identität, Orientierung oder zu sexuellen Aktivitäten. Relevant bei Dating-Plattformen und zielgruppenspezifischen Lifestyle-Diensten.
• Strafrechtliche Verurteilungen und Straftaten: Werden gemäß Art. 10 DSGVO gesondert geregelt und dürfen nur unter behördlicher Aufsicht oder auf Basis spezifischer nationaler Ermächtigungen verarbeitet werden.

Ausnahmen vom Verarbeitungsverbot (Art. 9 Abs. 2 DSGVO)

• Ausdrückliche Einwilligung (lit. a): Die häufigste Ausnahme in der Praxis. Sie muss explizit, also mit klarem Bezug auf die sensitive Datenkategorie und den konkreten Zweck, erteilt werden — eine allgemeine Datenschutzeinwilligung reicht nicht aus.
• Arbeitsrechtliche Pflichten (lit. b): Soweit erforderlich für Beschäftigungszwecke nach nationalem Recht. Kein Anwendungsfall für Marketing.
• Lebenswichtige Interessen (lit. c): In Notfallsituationen, wenn Einwilligung nicht eingeholt werden kann.
• Politische, weltanschauliche, religiöse oder gewerkschaftliche Organisationen (lit. d): Eigene Mitglieder und Verbundene können ohne Einwilligung verarbeitet werden, sofern keine Weitergabe an Dritte erfolgt.
• Öffentlich gemachte Daten (lit. e): Wenn die betroffene Person die sensitiven Daten offensichtlich selbst öffentlich gemacht hat.
• Gesundheit, Sozialschutz, öffentliches Gesundheitsinteresse (lit. h, i): Für medizinische und soziale Zwecke durch Fachkräfte mit Berufsgeheimnis.