DSGVO - BDSG - TTDSG

8. Daten zum Sexualleben oder zur sexuellen Orientierung

16

In Bezug auf Daten zum Sexualleben oder zur sexuellen Orientierung findet sich ebenfalls ein Diskriminierungsverbot in Art. 21 Abs. 1 GRCh, womit sowohl die Information zur Hetero-, Bi- oder Homosexualität als auch der Umstand einer Geschlechterumwandlung oder der einer eingetragenen Lebenspartnerschaft davon umfasst ist.54 Wegen des Bezugs zum Sexualleben oder die Erkenntnis über die sexuelle Orientierung müssen hierzu auch die Kundeneigenschaften in einem Sex-Shop bzw. eines entsprechenden Versandhandelsunternehmens, der Konsum bestimmter Sex-Videos oder die Frage nach der Partnerschaft gezählt werden.55 Eine Differenzierung zwischen Daten zum Sexualleben oder der sexuellen Orientierung ist im Einzelfalls schwierig, wegen des identischen Schutzrahmens aber auch nicht notwendig.56

III. Ausnahmeregelungen (Abs. 2)

17

Vom Verbotsgrundsatz des Abs. 1 enthält Abs. 2 einen abschließenden Katalog von Verarbeitungsbefugnissen, die mit Blick auf den Schutzzweck der Norm einer restriktiven Auslegung der Tatbestände und Beurteilung der Erforderlichkeit bedürfen.57 Weitere Ausnahmen dürfen, außer in den engen Grenzen von Abs. 4, weder durch die Mitgliedstaaten noch durch die Union vorgesehen werden.58 Abs. 3 enthält eine Verknüpfung des Datenschutzrechts mit den standesrechtlich begründeten Berufsgeheimnissen, weshalb dessen Anwendungsbereich insbesondere im Rahmen der Verarbeitung von Gesundheitsdaten zur Anwendung gelangt (Abs. 2 lit. h).59

1. Einwilligung (lit. a)

18

Die Ausnahmeregelung gilt zunächst einmal für den Fall, dass die betroffene Person in die Verarbeitung ausdrücklich einwilligt. Dabei sind aufgrund der engeren Formulierung gegenüber der allgemeinen Einwilligung (vgl. Art. 7 DSGVO) erhöhte Anforderungen an deren Erteilung zu stellen.60 Der Hinweis auf die Notwendigkeit der ausdrücklich erteilten Einwilligung indiziert, dass eine konkludente oder stillschweigende Einwilligung gerade nicht ausreicht.61 Außerdem sind die beabsichtigte Verarbeitung und deren Zweck der betroffenen Person auf eine Weise mitzuteilen und im Rahmen einer Erklärung so zu gestalten, dass über die Eindeutigkeit und die Erteilung der Einwilligung keine Zweifel bestehen können.62 Hierzu ist die ausreichende Information der betroffenen Person zur Bedeutung und Reichweite der Einwilligung sowie dem Zweck der Einwilligung notwendig.63 Ebenso ist es im Rahmen des Abs. 2 lit. a zwingende Voraussetzung, die Freiwilligkeit der Erklärung sicherzustellen, d.h. deren Erteilung ohne Druck (Nötigung), Zwang, Einschüchterung oder gar Täuschung nachzuweisen.64

19

Inwieweit die ausdrückliche Erteilung der Einwilligung überdies der Schriftform bedarf, erscheint demgegenüber eher zweifelhaft. Wichtig ist lediglich, dass die betroffene Person sich ausreichend über die Tragweite der Erklärung bewusst ist, das kann aber auch durch eine elektronische Form ausreichend sichergestellt werden.65 Die mündliche Einwilligung scheidet hingegen schon wegen der notwendigen Warnfunktion aus und kann nicht als eine ausdrückliche Einwilligung im Sinne des Abs. 2 lit. a betrachtet werden.66 Ungeachtet dessen wird durch die Schriftform aber aus Sicht des Verantwortlichen auf jeden Fall der Nachweis der erhaltenen Einwilligungserklärung erleichtert.67

20

Die Möglichkeit einer Ausnahme vom Verbot des Abs. 1 durch die Erteilung einer Einwilligung nach Abs. 2 lit. a kann durch unionsrechtliche oder mitgliedstaatliche Regelungen ausgeschlossen werden. Voraussetzung ist jedoch, dass eine entsprechende Abwägung mit den Rechten der betroffenen Personen vorgenommen wird.68 Doch so wünschenswert auch hier klare Regelungen beispielsweise zur Frage des Schriftformerfordernisses wären, besteht über die Möglichkeit des vollständigen Verbotes keine Befugnis zur weiteren Regelung der Einwilligung im Rahmen des Abs. 2 lit. a. Die Annahme der Möglichkeit einer Modifikation der Anforderungen an die Einwilligung (bspw. durch Verschärfung) erscheint vielmehr bedenklich, da damit die Sonderregelung in Abs. 4 für bestimmte Daten überflüssig wäre und eine Harmonisierung durch die Datenschutz-Grundverordnung unnötig erschwert wird.69

2. Arbeitsrecht, Recht der sozialen Sicherheit, Sozialschutz (lit. b)

21

Lit. b enthält eine Ausnahmeregelung für die Fälle, in denen der Verantwortliche aufgrund des Arbeitsrechts, des Rechts der sozialen Sicherheit oder des Sozialschutzes aufgrund von Unionsrecht, dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung verpflichtet ist, besondere Datenkategorien zu verarbeiten. Die Erlaubnis zur Verarbeitung ergibt sich dabei jedoch nicht aus lit. b selbst, sondern erfordert vielmehr eine eigene, konkrete unionsrechtliche oder mitgliedstaatliche Regelung, um beispielsweise im Rahmen der Renten- und Sozialversicherung, Krankenversicherung, Sozialhilfe, Wohnungs-, Familien- oder Ausbildungsförderung entsprechende Daten verarbeiten zu können (vgl. auch ErwG 52 Satz 1).70 Ausreichend können danach ebenso Regelungen in Tarifverträgen oder Betriebsvereinbarungen sein, die dann jedoch die Betroffenenrechte nach der Datenschutz-Grundverordnung entsprechend berücksichtigen müssen.71 Ebenso kann die zum Beispiel im Bereich des Arbeitsschutzes, der Bildungs- und Ausbildungsförderung, der Pflegebedürftigkeit, der Kinder- und Jugendhilfe etc. notwendige Verarbeitung von sensitiven Daten durch nationale Gesetzgeber geregelt werden (bspw. in den Sozialgesetzbüchern).72

3. Schutz lebenswichtiger Interessen (lit. c)

22

Eine Datenverarbeitung besonderer Datenkategorien im Sinne des Abs. 1 ist außerdem dann möglich, wenn diese zum Schutz lebenswichtiger Interessen einer betroffenen Person oder eines Dritten erforderlich ist und die Erteilung der Einwilligung nach lit. a aus körperlichen oder rechtlichen Gründen nicht möglich ist. Dabei kann sich das rechtliche Unvermögen daraus ergeben, dass eine Person aufgrund mitgliedstaatlichen Rechts erklärungs- oder geschäftsunfähig ist, während die physische oder geistige Unfähigkeit zur Abgabe einer Erklärung das körperliche Unvermögen beinhaltet.73 Das kann dann der Fall sein, wenn die betroffene Person zum Beispiel bewusstlos ist.74

23

Darüber hinaus muss es sich um lebenswichtige Interessen handeln, sodass Verarbeitungsvorgänge, die dem Schutz bzw. dem Erhalt des eigenen Lebens der betroffenen Person dienen, zumeist deren Willen entsprechen dürften. Schwieriger kann die Abwägung jedoch bei lebenswichtigen Interessen Dritter sein.75 Wegen des Schutzes der betroffenen Person ist hier eine enge Auslegung notwendig, die sowohl den mutmaßlichen Willen der betroffenen Person hinterfragt als auch die Stärke des Eingriffes berücksichtigt, um so die Erforderlichkeit der Datenverarbeitung feststellen zu können.76

4. Stiftungen, Vereinigungen, sonstige gemeinnützige Organisationen (lit. d)

24

Nach Abs. 2 lit. d wird es bestimmten Organisationen, die in den in Abs. 1 genannten Bereichen ohne Gewinnerzielungsabsicht tätig sind, ermöglicht, im Rahmen ihrer Tätigkeit Daten ihrer aktuellen oder ehemaligen Mitglieder sowie regelmäßig mit ihnen in Kontakt tretenden Personen (bspw. Spender, Interessierte) zu verarbeiten.77 Hintergrund ist, dass sich die Verarbeitung der Daten aufgrund der Funktionsausübung dieser sogenannten Tendenzbetriebe nicht vermeiden lässt, vielmehr zentrale Voraussetzung ihrer Aufgabenerfüllung ist.78 Eine Privilegierung besteht jedoch nur, sofern kein Erwerbszweck verfolgt wird, es sich folglich um eine gemeinnützige Tätigkeit handelt.79 Von der Ausnahmeregel werden zudem nur die internen Zwecke der Organisation erfasst (bspw. Mitgliederverwaltung), nicht jedoch zum Beispiel eine Offenlegung gegenüber Dritten, die vielmehr dem Einwilligungserfordernis (Abs. 1 lit. a) unterliegt.80

5. Öffentlich gemachte Daten (lit. e)

25

Ebenso können Daten verarbeitet werden, wenn diese durch die betroffene Person offensichtlich veröffentlicht wurden, eine betroffene Person mithin ausdrücklich auf den spezifischen Schutz ihrer sensitiven Daten und deren strengen Zweckgebundenheit verzichtet.81 Hierzu ist es jedoch notwendig, dass die Informationen nicht im individuell bestimmten Personenkreis (Familie, Suchtgruppen) gegeben wurden, sondern eine Mitteilung an die Allgemeinheit und damit einem individuell nicht bestimmbaren Personenkreis durch die betroffene Person erfolgt ist (frei zugängliche Bereiche des Internet).82 Es muss sich folglich um eine bewusste Entscheidung der betroffenen Person handeln.83 Ein besonderes Schutzbedürfnis der Daten wird dann ausgeschlossen, wobei sich deren weitere Verarbeitung aber weiterhin nach den allgemeinen Erlaubnisvorschriften richtet.84 Dabei setzt die Veröffentlichung im Sinne des Abs. 2 lit. e einen unzweideutigen und bewussten Willensakt der betroffenen Person voraus (bspw. Lebenslauf im Internet), wobei es sich nicht um eine zweckgerichtete Veröffentlichung handeln muss.85 Für die Annahme einer Veröffentlichung reicht hingegen das bloße „Dasein“ der Daten nicht aus, sodass die Teilnahme an öffentlichen Veranstaltungen noch nicht zwingendermaßen auf eine Veröffentlichung von Daten hindeutet.86 Vielmehr ist ein strenger Maßstab anzulegen, sodass bei Zweifeln der Ausnahmetatbestand keine Anwendung findet.87

6. Rechtsansprüche und Handlungen der Gerichte (lit. f)

26

Abs. 2 lit. f erlaubt außerdem die Verarbeitung der in Art. 9 DSGVO geschützten Daten ausnahmsweise dann, wenn diese für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden, d.h. das Tun oder Unterlassen aufgrund von Vertrag oder aus Gesetz verlangt wird (vgl. § 194 Abs. 1 BGB),88 wobei sowohl privatrechtliche als auch öffentlich rechtliche Ansprüche in Betracht kommen.89 Ebenso erfasst, wenn auch nicht extra genannt, ist die Verarbeitung der Daten zur Begründung eines Anspruchs.90 Dies gilt unabhängig davon, ob es sich beim Verantwortlichen um den Gläubiger oder Schuldner handelt, es also der Abwehr oder der Durchsetzung von Ansprüchen dient.91 Dem Recht des Einzelnen auf die effektive Durchsetzung seiner Rechte wird damit Vorrang gegeben, einer gesonderten Interessenabwägung im Rahmen des lit. f bedarf es insoweit nicht.92

27

Darüber hinaus ist auch die Verarbeitung bei Handlungen der Gerichte in Ausübung ihrer justiziellen Tätigkeit als erforderlich zu erachten. Das betrifft vor allem solche Informationen, deren Vorliegen erst die Feststellung einer Rechtsfolge ermöglichen.93

7. Erhebliches öffentliches Interesse (lit. g)

28

Bei Vorliegen eines erheblichen öffentlichen Interesses ermöglicht Abs. 2 lit. g DSGVO außerdem, durch Unions- oder mitgliedstaatliches Recht weitere Ausnahmen zu regeln, womit es keinen eigenen Erlaubnistatbestand beinhaltet, sondern die Umsetzung in eigenen Regelungen unter Beachtung der genannten Voraussetzungen durch nationales Recht oder Unionsrecht verlangt.94 Konkrete Regelungsbereiche werden dadurch nicht festgelegt, dürften aber vor allem im Bereich der öffentlichen Sicherheit oder der Gefahrenabwehr zu finden sein.95 Diese Möglichkeit sollte aber besonderen Ausnahmen vorbehalten sein und an die Zulässigkeit der Verarbeitung strenge Anforderungen gestellt werden.96 Zudem muss es sich um gesamtgesellschaftliche Interessen handeln, sodass Einzelinteressen nur dann als Grund in Betracht kommen, wenn diese auch zugleich ein Gesamtinteresse darstellen.97

8. Gesundheitsvorsorge, Arbeitsmedizin (lit. h)

29

Abs. 2 lit. h betrifft primär zunächst einmal die infrastrukturelle bzw. systematische Seite des Gesundheitswesens (vgl. ErwG 53 und 54). Erfasst wird die Verarbeitung von Daten im Rahmen des Gesundheits- und Sozialbereichs ebenso, wie die medizinische Diagnostik, die Gesundheitsvorsorge sowie der gesamte Bereich der Arbeitsmedizin zur Beurteilung der Arbeitsfähigkeit von Beschäftigten und die in diesem Zusammenhang möglichen Formen gesundheitsbezogener Handlungen (präventive, diagnostische, kurative sowie die Nachsorge).98 Dabei werden von der Ausnahmeregelung gegebenenfalls neben Gesundheitsdaten auch solche sensiblen Daten erfasst, die aus anderen Gründen einen Bezug aufweisen, beispielsweise bei der Verweigerung einer Behandlung aus religiösen Gründen.99

30

Die gesetzliche Anordnung der Verarbeitung bzw. die Erlaubnis zur Verarbeitung der Daten kann sich aus dem Unionsrecht oder dem Recht eines Mitgliedstaates ergeben. Darüber hinaus besteht jedoch auch die Möglichkeit, dass sich die Befugnis aus einem Vertrag mit einem Angehörigen eines Gesundheitsberufs ergibt, dies können sowohl Ärzte als auch das Personal bzw. die Ärzte aus Krankenhäusern sein.100

31

Überdies muss die Verarbeitung zu den in Abs. 2 lit. h genannten Zwecken im Interesse einzelner natürlicher Personen und der Gesellschaft erforderlich sein (vgl. ErwG 53 Satz 1). Die Verarbeitung muss also richtigerweise sowohl dem Schutz der betroffenen Person als auch dem Allgemeininteresse an einer hinreichenden Gesundheitsvorsorge gerecht werden.101

32

Die Ausnahmeregelung erfasst dann, neben den erforderlichen Verwaltungstätigkeiten, auch die Verarbeitung durch Abrechnungsstellen und Apotheken, findet jedoch über die Vorgabe in Abs. 3 eine Eingrenzung, indem der Umgang mit den Daten auf bestimmte Personen beschränkt wird.102 Nach Abs. 3 ist die Verarbeitung der Daten nur Fachpersonal, das einem Berufsgeheimnis oder einer sonstigen Geheimhaltungspflicht nach mitgliedstaatlichem Recht unterliegt, unter dessen Verantwortung zulässig.103 Dies betrifft zunächst einmal die in § 203 Abs. 1 Satz 1, Abs. 2 Nr. 1 StGB genannten Berufsgruppen, erfasst aber auch andere Berufsgruppen, sofern das Berufsgeheimnis sich auf sie erstreckt (bspw. private Krankenversicherungen).104

9. Öffentliche Gesundheit, schwerwiegende Gesundheitsgefahren (lit. i)

33

Abs. 2 lit. i erfasst demgegenüber die gefahrenrechtliche Komponente, wonach eine Datenverarbeitung dann ausnahmsweise erlaubt sein soll, sofern diese für die öffentliche Gesundheit, insbesondere schwerwiegende grenzüberschreitende Gesundheitsgefahren oder die Gewährleistung hoher Qualitäts- oder Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten erforderlich und angemessen ist (vgl. ErwG 54 Satz 2). Dabei müssen besondere Maßnahmen zum Schutz der Rechte und Freiheiten natürlicher Personen vorgesehen werden.

34

Voraussetzung ist jedoch auch hier, dass das unionsrechtliche oder mitgliedstaatliche Recht die Verarbeitung erlaubt. Geregelt werden können auf diese Weise zum Beispiel spezifische Meldepflichten für bestimmte Erkrankungen (bspw. Meldepflichten des Infektionsgesetzes).105 Bezüglich dieser Daten besteht sodann eine strenge Zweckbindung, sodass diese nicht durch Dritte zu anderen Zwecken verarbeitet werden dürfen (vgl. ErwG 54 Satz 3).

10. Archiv-, Forschungs- und statistische Zwecke (lit. j)

35

Zur Archivierung, für wissenschaftliche oder historische Forschungszwecke sowie für statistische Zwecke kann durch Unionsrecht oder Recht der Mitgliedstaaten die Verarbeitung der in Abs. 1 genannten Daten zulässig sein, sofern es die genannten Voraussetzungen erfüllt und vor allem im öffentlichen Interesse liegt. Das Erfordernis eines öffentlichen Interesses bezieht sich auf alle in lit. j genannten Alternativen.106 Darüber hinaus muss es sich um eine angemessene und erforderliche Regelung handeln, durch die der Wesensgehalt des Rechts auf Datenschutz gewahrt und angemessene sowie spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der Personen getroffen werden, womit demzufolge gegebenenfalls eigenständige Maßnahmen getroffen werden müssen. Dabei lässt die Formulierung nicht ausdrücklich erkennen, dass es sich um eine über die DSGVO hinausgehende Absicherung handeln muss.107 Auf jeden Fall muss aber sichergestellt sein, dass das Forschungsinteresse die Interessen der betroffenen Person überwiegt.108

36

Die Definition von Archiv-, historische und wissenschaftliche Forschungszwecke sowie statistische Zwecke richtet sich sodann nach Art. 89 Abs. 1, auf den lit. j DSGVO verweist.

IV. Nationale Regelungen (Abs. 4)

37

Durch die Regelung in Abs. 4 besteht die Möglichkeit der Mitgliedstaaten, die Verarbeitung von genetischen oder biometrischen Daten bzw. Gesundheitsdaten durch zusätzliche Bedingungen zu regeln. Dies kann beispielsweise in Form von besonderen Erfordernissen der Fall sein, wie bspw. einem Schriftformerfordernis (vgl. z.B. das GenDG).109 Die zusätzlichen Anforderungen müssen in Bezug auf die jeweiligen Schutzzwecke demzufolge geeignet, erforderlich und angemessen sein.110 Die Möglichkeit, die Verarbeitung durch nationale Regelungen zu erleichtern, besteht demgegenüber nicht, da die Regelungen nicht hinter dem Schutzbereich der DSGVO zurückbleiben dürfen.111 Auf Bundesebene wurde Art. 9 durch § 22 BDSG umgesetzt, in dem weiterhin entgegen den Regelungen der DSGVO eine Unterscheidung zwischen öffentlichen und nicht-öffentlichen Stellen beibehalten wird.112 Bestehen keine bereichsspezifischen Vorschriften in spezialgesetzlichen Regelungen ist das BDSG anzuwenden.

V. Rechtsschutz und Sanktionen

38

Der betroffenen Person steht bei Verstößen gegen die Vorgaben des Art. 9 DSGVO zunächst einmal das Recht auf Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO) sowie ein wirksamer Rechtsbehelf gegen den Verantwortlichen oder den Auftragsverarbeiter zu.

39

Wird ohne Vorliegen einer der in Abs. 2 geregelten Ausnahmetatbestände eine Verarbeitung besonderer Kategorien personenbezogener Daten vorgenommen, handelt es sich überdies um eine unzulässige Verarbeitung personenbezogener Daten, welche gemäß Art. 83 Abs. 5 lit. a DSGVO bußgeldbewehrt ist.113 Daneben bestehen die Ansprüche auf Unterlassen (§§ 1004, 823 Abs. 1 BGB i.V.m. Art. 6 Abs. 1 DSGVO) und Löschung (Art. 17 DSGVO) sowie gegebenenfalls auf Schadensersatz (Art. 82 DSGVO).114

1 Zum Personenbezug nach DSGVO siehe Krügel, ZD 2017, 455; zu evtl. Schwierigkeiten vgl. Schmitz, ZD 2018, 5; geschützt werden soll vor Benachteiligung und Diskriminierung, vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 1. 2 Zum Ursprung im französischen Recht vgl. Weichert, in: Kühling/Buchner, DS-GVO/BDSG, Art. 9 Rn. 1; die Bezeichnung „sensitive Daten“ bevorzugend Schulz, in: Gola, DS-GVO, Art. 9 Rn. 1. 3 Kritisch dazu, dass die Daten und nicht die Verarbeitungskontext der Ansatz für die besondere Schutzwürdigkeit ist, Schulz, in: Gola, DS-GVO, Art. 9 Rn. 2. 4 Thode, in: Schläger/Thode, Handbuch Datenschutzrecht und IT-Sicherheit, Kapitel A; Albrecht, CR 2016, 88, 97. 5 Vgl. Thode, in: Schläger/Thode, Handbuch Datenschutzrecht und IT-Sicherheit, Kapitel A. 6 Dadurch erfolgt eine Aufweichung des generellen Verarbeitungsverbotes, vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 2. 7 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 3; daher zu Recht von einer restriktiven Anwendung bestehender Erlaubnistatbestände ausgehend Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 3. 8 Darin die Gefahr der Harmonisierungswirkung sehend Schulz, in: Gola, DS-GVO, Art. 9 Rn. 3; Kühling/Martini, EuZW 2016, 448, 450; zum Harmonisierungszweck schon Eckhardt/Kramer/Mester, DuD 2013, 623, 624f. 9 Dazu mit weiteren Nachweisen Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 14; zum Recht auf informationelle Selbstbestimmung siehe das Volkszählungsurteil, BVerfG, Urt. v. 15.12.1983 – 1 BvR 209/83, NJW 1984, 419, 422. 10 Kritisch dazu schon Simitis, in: Simitis, BDSG, 8. Aufl. 2014, § 3 Rn. 250–252; wohl auch Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 4; in gewisser Weise auch Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 13. 11 BVerfG, Urt. v. 15.12.1983 – 1 BvR 209/83, BVerfGE 65, 1 = NJW 1984, 419, 422. 12 Ebenso Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 13. 13 Diese ohne weitere Prüfung voraussetzend Albrecht/Jotzo, Das neue Datenschutzrecht der EU, 2017, Rn. 59. 14 Albrecht/Jotzo, Das neue Datenschutzrecht der EU, Rn. 59. 15 Vgl. Schulz, in: Gola, DS-GVO, Art. 9 Rn. 13; zum bislang geltenden Recht außerdem Art.-29-Datenschutzgruppe, Advice paper on special categories of data („sensitive data“), 4/2011, 6. 16 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 22; Schulz, in: Gola, DS-GVO, Art. 9 Rn. 13; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 14; a.A. Bergauer, in: Knyrim, Datenschutzgrundverordnung, S. 60. 17 Vgl. Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 23; zur alten Gesetzeslage Simitis, in: Simitis, BDSG, 8. Aufl. 2014, § 3 Rn. 265; siehe auch Schulz, in: Gola, DS-GVO, Art. 9 Rn. 13, der im Zweifel die Anwendbarkeit von Art. 9 verneint; allerdings den Anwendungsbereich der Norm wegen der Aussage zum Sexualleben als eröffnet ansehend, wenn ein Hotelzimmer mit getrennten Betten gebucht wird, Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 14; zum Problem der Wesensdaten, vgl. Oettel, DuD 2021, 623. 18 Siehe Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 16. 19 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 26; Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14; hierzu bereits zum BDSG a.F. zu den Begriffen Buchner, in: Taeger/Gabel, BDSG, 2. Aufl. 2013, § 3 Rn. 59. 20 Ebenso Schulz, in: Gola, DS-GVO, Art. 9 Rn. 13f. 21 Auf den Kontext abstellend Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 18. 22 Zu den Abgrenzungsschwierigkeiten vgl. Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 18. 23 Richtigerweise darauf hinweisend Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 18. 24 Vgl. mit Verweis auf die Grundrechte Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 15. 25 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 27; noch nach alter Gesetzeslage Simitis, in: Simitis, BDSG, 8. Aufl. 2014, § 3 Rn. 260. 26 Vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 19. 27 Weitere Beispiele bei Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 27. 28 Ohne weitere Begründung aber solche Tätigkeiten ausnehmend, die sich nicht mit der politischen Grundeinstellung beschäftigen, bspw. Sekretariat und IT, vgl. Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14. 29 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 27; die Teilnahme von Veranstaltungen ausschließend Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14; bereits zum BDSG a.F. zu den Begriffen Buchner, in: Taeger/Gabel, BDSG, 2. Aufl. 2013, § 3 Rn. 59; für eine weite Auslegung daher zu Recht Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 19f. 30 Siehe auch Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 28. 31 So Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 23. 32 Vgl. Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 23. 33 Dazu Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14; ebenso Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 22. 34 Vgl. Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 28; Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14. 35 Richtigerweise darauf hinweisend Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 29. 36 Vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 23. 37 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 30; gewerkschaftsnahe Stiftungen insoweit bei Fehlen eines inhaltlichen Zusammenhangs zu einer Gewerkschaftstätigkeit ausschließend Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14. 38 Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 24ff. 39 Vgl. Kommentierung zu Art. 4 Rn. 384ff. 40 Vgl. Kommentierung zu Art. 4 Rn. 382ff. 41 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 31; siehe auch Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14; Frenzel, in: Paal/Pauly, DS-GVO BDSG, Art. 9 Rn. 14; a.A. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 27. 42 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14. 43 Insbesondere, weil deren Inhaltsgehalt durch die betroffene Person nicht beeinflusst werden kann, vgl. Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 32. 44 Vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 30. 45 Zur Definition siehe auch Kommentierung zu Art. 4 Rn. 391ff. 46 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 33; darauf hinweisend, dass auch Bewegungen und der Gang inzwischen ausgewertet werden können Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 32. 47 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14; Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 37; Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 15. 48 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14; vgl. zudem Art.-29-Datenschutzgruppe, Annex – health data in apps and devices, 2; ebenso Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 36. 49 Vgl. Kommentierung zu Art. 4 Rn. 404ff. zum Problem der Wesensdaten Oettel, DuD 2021, 623. 50 Im Einzelnen Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 39; dazu, aber auch schon nach BDSG a.F. Buchner, in: Taeger/Gabel, BDSG, 2. Aufl. 2013, § 3 Rn. 59; zur Frage, ob Krankschreibungen ein Gesundheitsdatum darstellen, siehe außerdem BAG, Beschl. v. 7.2.2012 – 1 ABR 46/10, DB 2012, 1517; Kort, DB 2012, 688. 51 Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 40. 52 Siehe Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 40; unabhängig vom zusätzlichen besonderen Schutz des Sozialgeheimnisses, vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 37. 53 Vgl. Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 41; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 41. 54 EuGH, Urt. v. 29.4.2015 – C-528/13, MedR 2015, 811; EuGH, Urt. v. 30.4.1996 – C-13/94, NZA 1996, 695. 55 Ebenso mit weiteren Nachweisen Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 37, 42; Meents/Hinzpeter, in: Taeger/Gabel, BDSG, 2. Aufl. 2013, § 35 Rn. 22; wohl a.A. ohne weitere Begründung Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14; vgl. außerdem Däubler, NZA 2001, 874, 877; Däubler, Gläserne Belegschaften, Rn. 195; Nguyen, DuD 2011, 715. 56 Vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 43. 57 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 46; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 47; Wolff, in: Wolff/Brink, BeckOK DatenschutzR, § 28 Rn. 247. 58 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 32; siehe auch Standpunkt des Rates in erster Lesung v. 8.4.2016, Interinstitutionelles Dossier 2012/011 (COD), 12; Albrecht, CR 2016, 88, 97. 59 Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 147. 60 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 16; siehe außerdem die Begründung des Rates v. 17.3.2016, 5419/16, 9; zur Einwilligung im Krankenhaus siehe bei Hauser, KH 2018, 403. 61 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 33; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 50; noch zur DSRl hingegen Rogosch, Die Einwilligung im Datenschutzrecht, 2013, S. 63f. 62 Zu Recht darauf hinweisend Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 33; siehe außerdem Schulz, in: Gola, DS-GVO, Art. 9 Rn. 14; nach BDSG hingegen noch Kühling, in: Wolff/Brink, BeckOK DatenschutzR, § 4a Rn. 56; siehe auch Taeger, in: Taeger/Gabel, BDSG, 2. Aufl. 2013, § 4a Rn. 33ff. 63 Zur Ausnahme bzgl. des Zwecks bei Forschungsvorhaben siehe bei Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 34. 64 Vgl. Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 34 m.w.N.; noch zum BDSG a.F. Taeger, in: Taeger/Gabel, BDSG, 2. Aufl. 2013, § 4a Rn. 52. 65 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 17; a.A. noch Simitis, in: Simitis, BDSG, 8. Aufl. 2014, § 4a Rn. 56. 66 Ebenso Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 35, a.A. Schulz, in: Gola, DS-GVO, Art. 9 Rn. 17. 67 Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 51; zur Beweislastumkehr siehe Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 35. 68 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 36; Frenzel, in: Paal/Pauly, DS-GVO BDSG, Art. 9 Rn. 23; siehe auch Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 53. 69 So aber Schulz, in: Gola, DS-GVO, Art. 9 Rn. 19; Kühling/Martini et al., Die DSGVO und das nationale Recht, S. 50, wie hier hingegen Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 36; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 53. 70 Vgl. Schulz, in: Gola, DS-GVO, Art. 9 Rn. 20. 71 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 20; Wybitul, ZD 2016, 203, 206; Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 38; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 58. 72 Vgl. Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 60f.; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 68f. 73 Vgl. Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 41. 74 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 21; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 73. 75 Schon um eine Vereinbarkeit mit dem Schutz der Betroffeneninteressen sicherzustellen, vgl. Art. 7, 8 GRCh, Art. EMRK und Art. 2 Abs. 1, Art. 1 Abs. 1 GG. 76 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 42; Dammann/Simitis, DSRl, Art. 8 Rn. 11; zur Vorgängervorschrift kritisch Frenzel, in: Paal/Pauly, DS-GVO BDSG, Art. 9 Rn. 29ff. 77 Vgl. Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 43; zu den sog. Tendenzbetrieben siehe auch Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 76. 78 Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 70. 79 Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 79. 80 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 24; Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 43; Frenzel, in: Paal/Pauly, DS-GVO BDSG, Art. 9 Rn. 34; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 82. 81 Insoweit dem Regelungsgedanken folgend, vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 83. 82 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 45; Schulz, in: Gola, DS-GVO, Art. 9 Rn. 26; Frenzel, in: Paal/Pauly, DS-GVO BDSG, Art. 9 Rn. 36. 83 Ebenso Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 84; Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 79. 84 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 26. 85 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 45; Schulz, in: Gola, DS-GVO, Art. 9 Rn. 26; vgl. auch zum bisherigen Recht Gola/Schomerus, BDSG, § 28 Rn. 77. 86 Dabei allerdings auf die Perspektive des äußeren Beobachters abstellend Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 80. 87 Ebenso Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 80; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 87ff. 88 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 28. 89 Zur notwendigerweise weiten Auslegung vgl. Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 49. 90 Vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 95; zur Notwendigkeit der Klarstellung durch den Verordnungsgeber Schulz, in: Gola, DS-GVO, Art. 9 Rn. 28. 91 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 47; Schulz, in: Gola, DS-GVO, Art. 9 Rn. 27. 92 Bisher § 28 Abs. 6 Nr. 3 BDSG; vgl. Schulz, in: Gola, DS-GVO, Art. 9 Rn. 27; zum bisherigen Recht vgl. Wolff, in: Wolff/Brink, BeckOK DatenschutzR, § 28 Rn. 257; nicht eindeutig bei Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 47. 93 Vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 93; Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 48. 94 Dazu im Einzelnen Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 51ff. 95 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 54; Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 91. 96 Drei Voraussetzungen benennend Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 98: (1) die Angemessenheit der Verarbeitung in Bezug auf das Ziel, (2) die Wahrung des Wesensgehalts des Rechts auf Datenschutz und (3) angemessene sowie spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Personen. 97 Vgl. Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 100f.; Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 89. 98 Zum bislang geltenden Recht Dammann/Simitis, DSRl, Art. 8 Rn. 18; Schulz, in: Gola, DS-GVO, Art. 9 Rn. 35; vertiefend Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 59; zu verschiedenen Bereichen der Datenverarbeitung im Gesundheitswesen auch insgesamt bei Buchner, Das neue Datenschutzrecht im Gesundheitswesen. 99 Zu Recht darauf hinweisend Schulz, in: Gola, DS-GVO, Art. 9 Rn. 35. 100 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 60. 101 Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 60. 102 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 38; zum bisher geltenden Recht Stender-Vorwachs, in: Wolff/Brink, BeckOK DatenschutzR, § 13 Rn. 41; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 147ff. 103 Vgl. § 203 StGB oder die ärztlichen Berufsordnungen der Landesärztekammern, siehe auch Schulz, in: Gola, DS-GVO, Art. 9 Rn. 36. 104 Siehe Schulz, in: Gola, DS-GVO, Art. 9 Rn. 36f.; zu den weiteren möglichen Berufsgruppen siehe Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 153. 105 Vgl. § 9 IfSG; vgl. Schulz, in: Gola, DS-GVO, Art. 9 Rn. 41; Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 62. 106 Dem eine grammatikalische Auslegung nicht entgegensteht, vgl. Schiff, in: Ehmann/Selmayr, DS-GVO, Art. 9 Rn. 63. 107 So Schulz, in: Gola, DS-GVO, Art. 9 Rn. 44. 108 Ebenso Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 131; wegen alter Gesetzeslage hingegen ein erhebliches Überwiegen des Forschungsinteresses fordernd Schulz, in: Gola, DS-GVO, Art. 9 Rn. 44. 109 Vgl. Schulz, in: Gola, DS-GVO, Art. 9 Rn. 48. 110 Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 165. 111 Schulz, in: Gola, DS-GVO, Art. 9 Rn. 48; Spindler, DB 2016, 937, 944; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 165. 112 Vgl. Kommentierung zu § 22 BDSG; weitere Bestimmungen für den Gesundheitsbereich wurden durch das Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17.7.2017 geändert, dazu und zur Kritik, dass das Gesundheitsdatenschutzrecht undurchsichtig bleibt, Weichert, in: Kühling/Buchner, DS-GVO BDSG, Art. 9 Rn. 170ff.; Wedde, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 9 Rn. 173f. 113 Zur Möglichkeit und Höhe der Geldbuße nach Datenschutzgrundverordnung siehe u.a. bei Eckhard/Menz, DuD 2018, 139; Mester, DuD 2018, 181. 114 Zur Möglichkeit zivilrechtlicher Haftung siehe auch Steffen, DuD 2018, 145, 147.