Sensible Daten: Was fällt darunter? 

Mit der Einführung der Datenschutzgrundverordnung (DSGVO) wurde eine eindeutige Definition von „sensiblen Daten“ und „personenbezogenen Daten“ geschaffen. Personenbezogene Daten sind zwar besonders geschützt, dürfen aber dennoch in zahlreichen Bereichen erhoben werden. Das ist zum Beispiel der Fall, wenn Sie zwecks einer Online-Bestellung Ihren Namen und Ihre Adresse angeben. Bei sensiblen Daten sieht es etwas anders aus. Sensible Daten dürfen laut DSGVO nur in Ausnahmefällen erhoben werden. Welche Daten dies betrifft und wann sie erhoben werden dürfen, erfahren Sie in diesen Beitrag. 

Was sind sensible Daten? 

Als sensible Daten bezeichnet man die Sonderform personenbezogener Daten. Kurz gesagt: Bei personenbezogenen Daten handelt es sich nicht zwangsläufig auch um sensible Daten, sensible Daten sind aber immer personenbezogen. Zu den sensiblen Daten zählen: 

• Ethnizität und Herkunft 
• Politische Gesinnung 
• Religion und Weltanschauung 
• Gewerkschaftszugehörigkeit 
• Genetische Daten 
• Biometrische Daten, die verwendet werden können, um eine Person eindeutig zu identifizieren 
• Gesundheitsdaten 
• Daten zum Sexualleben und der sexuellen Orientierung 

Man spricht daher auch von „sensiblen personenbezogenen Daten“. 

Wie unterscheiden sich sensible Daten von anderen personenbezogenen Daten? 

In der Datenschutzgrundverordnung ist der Umgang mit personenbezogenen Daten umfassend geregelt. Die gesetzlichen Vorschriften, die eingehalten werden müssen, um personenbezogene Daten verarbeiten zu dürfen, sind hoch. Bei sensiblen Daten sind die Anforderungen noch einmal deutlich höher. Das hat einen einfachen Hintergrund. Findet ein Missbrauch sensibler Daten statt, besteht für Nutzer*innen ein überdurchschnittlich hohes Risiko für die informationelle Selbstbestimmung. Deshalb hat der Gesetzgeber entschieden, dass sensible Daten einen besonders hohen Schutz genießen. Dieser geht weit über die Vorgaben für personenbezogene Daten hinaus. 

Wann dürfen sensible Daten verarbeitet werden? 

Auch die Verarbeitung sensibler Daten ist nicht grundsätzlich ausgeschlossen. Damit dies zulässig ist, müssen jedoch einige Anforderungen erfüllt sein. Diese Anforderungen sind in Art. 9 DSGVO geregelt: 

• Betreffende Personen haben in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere Zwecke ausdrücklich eingewilligt (Ausnahme: Es sei denn, nach Unionsrecht oder dem Recht der Mitgliedsstaaten kann das Verbot durch die Einwilligung der Person nicht aufgehoben werden). 

• Die Verarbeitung ist zwingend notwendig, damit die betroffene Person ihre Rechte im Hinblick auf Arbeitsrecht, Recht der sozialen Sicherheit oder Recht des Sozialschutzes wahren kann.  

• Die Verarbeitung der Daten dient dem Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person UND die betroffene Person ist aus körperlichen oder rechtlichen Gründen nicht dazu in der Lage, ihre Einwilligung selbst zu geben. 

• Die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht und ausschließlich im Rahmen ihrer rechtmäßigen Tätigkeiten unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder, ehemalige Mitglieder und Personen mit näherem Tätigkeitszweck für die Organisation beschränkt. 

• Die Verarbeitung findet auf Grundlage von Informationen statt, die die betroffene Person offensichtlich öffentlich gemacht hat. 

• Die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder im Rahmen justizieller Tätigkeit der Gerichte erforderlich. 

• Die Verarbeitung findet auf Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaates statt und steht in angemessenem Verhältnis zu dem verfolgten Ziel, den Wesensgehalt des Rechts auf Datenschutz zu wahren. 

• Die Verarbeitung dient der Gesundheitsvorsorge oder Arbeitsmedizin, ist für die Beurteilung der Arbeitsfähigkeit des Beschäftigten relevant, für die medizinische Diagnostik, die Versorgung oder Behandlung oder für die Verwaltung von Systemen und Diensten im Gesundheits- und Sozialbereich. 

• Die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, z. B. dem Schutz vor schwerwiegender, grenzüberschreitender Gesundheitsgefahren, relevant.  

• Die Verarbeitung ist zur Wahrung der Grundrechte und Interessen der betroffenen Person relevant, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke. 

Sie sehen selbst: Die Anforderungen für die Verarbeitung und Nutzung sensibler Daten sind sehr hoch. In den meisten Fällen ist eine ausdrückliche Einwilligung betroffener Personen notwendig, um diese Art von Daten verarbeiten zu dürfen. Aber was muss man beim Umgang mit personenbezogenen Daten im Allgemeinen beachten?  

Wer darf personenbezogene Daten abfragen und wer darf sie weitergeben? 

Unternehmen und Organisationen dürfen personenbezogene Daten nur dann erheben und verarbeiten, wenn die Einwilligung der betroffenen Person vorliegt oder eine vertragliche Verpflichtung – also ein Vertrag zwischen Organisation und betroffener Person – dies rechtfertigt. Zusätzlich dürfen personenbezogene Daten abgefragt werden, um rechtliche Verpflichtungen einzufordern, wenn die Verarbeitung im öffentlichen Interesse liegt oder unter dem Schutz lebenswichtiger Interessen einer Person steht. 

Ebenjene Voraussetzungen sind nicht nur die Grundlage für die Verwendung personenbezogener Daten, sondern auch für deren Weiterleitung. Grundsätzlich haben Sie als betroffene Person aber immer das Recht, die gespeicherten Informationen zu Ihrer Person abzufragen und auch deren Verwendung nachzuvollziehen. Dieses Recht wurde in Art. 15  DSGVO festgehalten – dem sogenannten Auskunftsrecht.  

Durch das Auskunftsrecht können Sie von den Verantwortlichen eine Bestätigung darüber erlangen, ob personenbezogene Daten über Sie erhoben wurden und wenn ja, um welche Daten es sich handelt. Wurden personenbezogene Daten hinterlegt, können Sie zudem deren Verarbeitungszwecke, die Empfänger*innen der Daten, die geplante Dauer der Datenspeicherung und das Recht auf Berichtigung oder Löschung anfragen. Die Verantwortlichen müssen Ihnen im Anschluss eine Kopie der personenbezogenen Daten und einen vollumfänglichen Bericht zu deren Verarbeitung zur Verfügung stellen. 

Wie geht man mit sensiblen Daten im Internet um? 

Nicht jede Information hat etwas im Internet verloren. Aber grundsätzlich entscheiden Sie natürlich selbst, welche personenbezogenen und sensiblen Daten Sie von sich Preis geben möchten. Grundsätzlich gilt: Haben Sie selbst eine Information öffentlich gemacht, so darf diese auch gespeichert und genutzt werden. Seien Sie daher insbesondere im Umgang mit sensiblen Daten sehr vorsichtig, um eine Speicherung zu vermeiden. 

Wie können Sie sensible Daten im Alltag schützen? 

Während sich die Preisgabe personenbezogener Daten im Internet kaum vermeiden lässt – beispielsweise bei einer Bestellung in einem Online-Shop – sieht es bei den sensiblen Daten schon etwas anders aus. Im Regelfall wird kein Online-Shop oder -Portal Sie dazu auffordern, genauere Angaben zu Ihrem religiösen Glauben, Ihrer Sexualität oder Ihrer Herkunft zu machen. Werden solche Informationen abgefragt, verweigern Sie entweder die Angabe der Daten oder weichen Sie auf alternative Plattformen aus. Beachten Sie zudem unsere 10 Tipps für Datensicherheit, um sicher im Internet unterwegs zu sein.