Sag´ mir, wie deine Freunde heissen!

Veröffentlicht am

Sensible Daten gemäß Art. 9 Abs. 1 DSGVO

Manche Daten sind schützenswerter als andere.

Die DSGVO bestätigt diese Annahme, indem sie eine Ausnahme der Verarbeitung besonderer Kategorien personenbezogener Daten in Art. 9 festhält. Im ersten Absatz werden Daten aufgelistet, bei welchen eine Datenverarbeitung untersagt ist. Der zweite Absatz bildet dann die Rückausnahme, in welchen Fällen eine Verarbeitung der im ersten Absatz genannten Daten doch erlaubt ist.

Bei der Umsetzung der DSGVO wird der Fokus meist auf Art. 6 gelegt, welcher die Rechtsgrundlagen der Verarbeitung regelt. Dem Art. 9 DSGVO wird häufig weniger Beachtung geschenkt. Lediglich bei einzelnen Verarbeitungstätigkeiten steht Art. 9 DSGVO immer wieder im Mittelpunkt, zum Beispiel bei derer im Kontext der Beschäftigung, wo Krankheitsdaten für Krankenversicherungen verarbeitet werden.

Aber wie weit reicht eigentlich Art. 9 DSGVO? Diese Frage hatte der EuGH kürzlich zu klären. In einem Fall aus Litauen musste ein Mitarbeiter einer Einrichtung Angaben zu privaten Beziehungen machen. Neben der Frage, ob die Norm des litauischen Rechts mit Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Einklang steht, ob die Angaben eines Namens indirekt zu einer Verarbeitung von sensiblen Daten im Sinne des Art. 9 DSGVO führt.

Wenn das der Fall sein sollte, dann ist der Bereich des Art. 9 DSGVO sehr weit zu verstehen. Der EuGH bejahte das weite Verständnis des Art. 9 DSGVO, mit Hinblick auf den Schutz der betroffenen Person. Das Urteil zeigt aber erneut das Spannungsverhältnis zwischen Art. 6 und Art. 9 auf und wie unklar die Grenzen dieser beiden Normen doch verlaufen. Für die Praxis ist es daher unerlässlich, dass man sich Gedanken macht, ob verarbeitete Daten nicht doch unter die besondere Kategorie fallen, wenn man einzelne Daten mit einem anderen Blick auf die Sache untersucht. Somit sollte aus praktischer Perspektive zukünftig verstärkt auf diese Möglichkeit geachtet werden.

Q1: EuGH Urt. v. 01.08.2022 – C-184/20 

Verzeichnis von Verarbeitungstätigkeiten

Das Verzeichnis von Verarbeitungstätigkeiten ist das A und O im Datenschutz. Artikel 30 DSGVO stellt hohe Anforderungen an das Verzeichnis von Verarbeitungstätigkeiten.

Wir unterstützen bei der Erstellung des Verzeichnis von Verarbeitungstätigkeiten.

Cookie Consent mit Real Cookie Banner