Was sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)?

Manche personenbezogenen Daten sind sensibler als andere – und die DSGVO behandelt sie deshalb strenger. Wer im Unternehmen KI-Tools für Recruiting, Kundenservice oder interne Kommunikation einsetzt, stößt schneller als gedacht auf diese besonderen Kategorien. Dieser Artikel erklärt, was darunterfällt und worauf es beim KI-Einsatz ankommt.

Was bedeutet “besondere Kategorien personenbezogener Daten”?

Art. 9 Abs. 1 DSGVO fasst acht Datenarten zu den besonderen Kategorien zusammen: Daten zur rassischen und ethnischen Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer Person, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Für all diese Daten gilt zunächst ein grundsätzliches Verarbeitungsverbot – strenger als die allgemeine Regel für personenbezogene Daten.

Von diesem Verbot lässt Art. 9 Abs. 2 DSGVO zehn eng gefasste Ausnahmen zu. Für die Unternehmenspraxis am relevantesten sind die ausdrückliche Einwilligung der betroffenen Person für einen festgelegten Zweck (lit. a), die Erforderlichkeit im Arbeits- und Sozialversicherungsrecht (lit. b) sowie Daten, die die betroffene Person offensichtlich selbst öffentlich gemacht hat (lit. e). Ohne eine dieser Ausnahmen bleibt die Verarbeitung untersagt.

Warum ist das für dein Unternehmen beim KI-Einsatz wichtig?

KI-Tools kommen mit besonderen Datenkategorien oft ungeplant in Berührung. Ein Recruiting-Assistent, der Lebensläufe samt Foto auswertet, kann Rückschlüsse auf ethnische Herkunft oder Religion ziehen. Ein Transkriptions-Tool für Bewerbungsgespräche protokolliert unter Umständen Angaben zu Schwangerschaft oder chronischen Erkrankungen. Ein Kundenservice-Chatbot, der Support-Tickets zusammenfasst, verarbeitet Gesundheitsdaten, sobald ein Kunde eine Erkrankung als Grund für eine Reklamation nennt. Sprachassistenten mit Stimmerkennung zur eindeutigen Identifizierung fallen zusätzlich unter biometrische Daten.

Diese Sonderfälle wirken sich direkt auf zwei Pflichten aus. Erstens braucht es zwingend eine der zehn Ausnahmen aus Art. 9 Abs. 2 DSGVO – ein bloßes “berechtigtes Interesse” wie bei gewöhnlichen personenbezogenen Daten reicht nicht aus. Zweitens löst die umfangreiche Verarbeitung besonderer Kategorien nach Art. 35 Abs. 3 lit. b DSGVO in der Regel die Pflicht zu einer Datenschutz-Folgenabschätzung (DSFA) aus.

Besondere Kategorien in der Praxis

Ein Beispiel: Eine Personalabteilung nutzt ein KI-Tool, um Bewerbungsgespräche automatisch zu transkribieren und zusammenzufassen. Eine Bewerberin erwähnt im Gespräch eine Schwerbehinderung, um den Bedarf an einem barrierefreien Arbeitsplatz zu erklären. Ab diesem Moment verarbeitet das Unternehmen ein Gesundheitsdatum nach Art. 9 DSGVO – nicht weil es das wollte, sondern weil das Tool jedes gesprochene Wort protokolliert.

Für diesen Fall braucht es eine tragfähige Rechtsgrundlage, in der Regel die Erforderlichkeit im Beschäftigungskontext nach Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 BDSG, dokumentiert im Verarbeitungsverzeichnis. Wird das Transkriptions-Tool durchgängig für Bewerbungsgespräche eingesetzt, ist zusätzlich zu prüfen, ob eine DSFA erforderlich ist, und ob mit dem Anbieter ein AVV besteht, der auch besondere Datenkategorien abdeckt. Wer stattdessen automatisiert aus Bewerbungsdaten Auswahlentscheidungen ableitet, sollte zusätzlich prüfen, ob Profiling im Sinne der DSGVO vorliegt.

Weiterführendes

Was sind personenbezogene Daten? – Grundbegriff, von dem sich die besonderen Kategorien abgrenzen
Was ist eine DSFA? – Pflicht bei umfangreicher Verarbeitung besonderer Kategorien
Was ist Profiling? – relevant bei automatisierten Bewertungen auf Basis sensibler Daten
Was ist ein AVV? – Pflichtvertrag, wenn ein KI-Anbieter besondere Datenkategorien im Auftrag verarbeitet

Häufige Fragen

Zählt schon die beiläufige Erwähnung einer Krankheit im Chatverlauf als Gesundheitsdatum nach Art. 9 DSGVO?

Ja. Sobald aus einer Information ein Rückschluss auf den Gesundheitszustand einer bestimmten oder bestimmbaren Person möglich ist, handelt es sich um ein Gesundheitsdatum nach Art. 9 DSGVO – unabhängig davon, ob die Angabe beiläufig oder gezielt gemacht wurde. Auf den Umfang oder die Diagnosetiefe kommt es dabei nicht an.

Reicht eine Einwilligung im Kleingedruckten der AGB als Rechtsgrundlage nach Art. 9 Abs. 2 lit. a DSGVO?

Nein. Art. 9 Abs. 2 lit. a DSGVO verlangt eine ausdrückliche Einwilligung für einen festgelegten Zweck – das setzt eine aktive, informierte und eindeutige Handlung der betroffenen Person voraus. Eine vorformulierte Klausel in den allgemeinen Geschäftsbedingungen, die niemand gesondert bestätigt, erfüllt diese Anforderung in der Regel nicht.

Muss für jedes KI-Tool, das theoretisch besondere Datenkategorien verarbeiten könnte, eine DSFA durchgeführt werden?

Nicht automatisch. Eine Datenschutz-Folgenabschätzung ist nach Art. 35 Abs. 3 lit. b DSGVO Pflicht, wenn besondere Kategorien umfangreich verarbeitet werden – das theoretische Risiko allein reicht nicht. Bei geringem Umfang oder rein zufälligem Kontakt mit solchen Daten sollte die Pflicht dennoch im Einzelfall geprüft werden, bevor man sie ausschließt.

Was passiert, wenn ein Unternehmen besondere Datenkategorien ohne passende Ausnahme nach Art. 9 Abs. 2 DSGVO verarbeitet?

Das ist ein Verstoß gegen ein grundsätzliches Verarbeitungsverbot und gehört zu den schwerer gewichteten DSGVO-Verstößen. Aufsichtsbehörden können nach Art. 83 Abs. 5 DSGVO Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes verhängen. Betroffen sind in der Praxis oft KI-Tools, die ungeprüft mit Gesundheits-, Personal- oder Bewerbungsdaten gefüttert werden.