II. Schutz sensitiver Daten (Abs. 1)
6
Abs. 1 enthält zunächst einmal das strikte Verbot zur Verarbeitung der dort genannten Datenkategorien. Unmittelbar erfasst werden damit alle Angaben von den in Abs. 1 ausdrücklich genannten Datenkategorien. Ausreichend für das Verbot der Verarbeitung ist es aber außerdem, wenn sich einer dieser Informationen lediglich mittelbar aus dem Gesamtzusammenhang ergibt.15 Danach können auch indirekte Hinweise auf die in Abs. 1 genannten Datenkategorien dem besonderen Schutz aus Abs. 1 unterliegen. Zu berücksichtigen ist insoweit, dass es auf den Informationsgehalt eines Datums ankommt, bei dem auf das Verständnis und den Empfängerhorizont eines durchschnittlichen Empfängers im jeweiligen Verarbeitungskontext abzustellen ist, der dem Verarbeitungszusammenhang im Einzelfall zu entnehmen ist.16 Demgegenüber kommt nicht jede mittelbare Angabe sogleich in den Schutzbereich des Art. 9 DSGVO, vielmehr wird die Ausrichtung der konkreten Datenverarbeitung im Hinblick auf den Schutzzweck der Regelung betrachtet, weshalb auf den Kontext des Einzelfalls abzustellen ist, ob es sich um einen sensiblen Schutzbereich handelt (der Kauf eines Buches mit religiösen Inhalten wird daher zum Beispiel nicht von Art. 9 Abs. 1 DSGVO erfasst).17 In Abs. 1 werden die besonderen Datenkategorien genannt, ohne diese jedoch im Einzelnen zu definieren.
1. „Rassische und ethnische“ Herkunft
7
Zunächst einmal geht es bei der „rassischen und ethnischen“ Herkunft um die Zugehörigkeit zu einer bestimmten Bevölkerungsgruppe.18 Dazu werden unter anderem die Hautfarbe oder sonstige markante Merkmale einer Person gezählt, die Hinweise auf deren Herkunft geben, wie dies neben der Hautfarbe beispielsweise bei typischen auf bestimmte Regionen beschränkte Sprachen, Kultur u.s.w. der Fall ist.19 Beim Namen einer Person müssen demgegenüber besondere Umstände hinzutreten, damit dieser durch Art. 9 Abs. 1 DSGVO geschützt wird.20 Zwar kann ein Name auf die „rassische oder ethnische“ Herkunft Rückschlüsse zulassen, diese werden aber andererseits auch über Generationen weitergegeben und können daher nicht ausnahmslos als schutzwürdig betrachtet werden.21 Wäre das der Fall, würde dies zu einer unangebrachten Privilegierung all derjenigen führen, die entsprechende Namen tragen, unabhängig von einer tatsächlichen Schutznotwendigkeit.22 Allerdings kann es im Einzelfall zu einer anderen Bewertung kommen, wenn der Zweck der Datenverarbeitung gerade dazu dient, diese Rückschlüsse zu ermöglichen.23
2. Politische Meinung
8
Erfasst wird sowohl die politische Meinung als auch die religiöse und weltanschauliche Überzeugung,24 die sich ebenso negativ betrachtet, auf deren Ablehnung beziehen kann.25 Einbezogen werden ebenso die Anschauung, Ansichten, Auffassungen und Einstellungen.26 Hinweise auf die politische Meinung können darüber hinaus gewisse Handlungen bzw. Vorlieben einer Person bieten, weshalb die Unterstützung bzw. Zugehörigkeit zu einer Partei oder einer weltanschaulichen Organisation, das Abonnement einer speziell ausgerichteten Zeitschrift, die Teilnahme an Offline- und Online-Petitionen, das Engagement bei einer Versammlung oder Demonstration usw. ebenfalls dem Schutzbereich des Art. 9 DSGVO unterliegen.27 Die Tätigkeit bei einer politischen Partei oder die Teilnahme an deren Veranstaltungen kann ebenfalls dazugehören,28 wobei in diesem Zusammenhang es stärker auf den konkreten Kontext ankommt, sodass ein Besuch auf Veranstaltungen, die sich stark an Gruppierungen verschiedener politischer Ausrichtungen richten (bspw. Veranstaltungen der Bundeskanzlerin) weniger auf die politische Meinung hinweist, als eventuell der Besuch einer NPD-Demonstration.29
3. Religiöse oder weltanschauliche Überzeugungen
9
Der Schutz von religiösen und weltanschaulichen Überzeugungen hat seinen Ursprung zum einen im Diskriminierungsverbot (Art. 21 Abs. 1 GRCh, Art. 3 Abs. 3 GG), zum anderen im Gebot religiöser Vielfalt (Art. 22 GRCh) und dem Schutz der Glaubens- und Gewissensfreiheit (Art. 10 GRCh, Art. 4 GG).30
10
Bei Betrachtung des grundrechtlichen Begriffs der Religionsfreiheit, bezieht sich die religiöse Überzeugung zunächst einmal auf die Glaubens- und Religionsausübungsfreiheit.31 Damit sind solche Informationen erfasst, die auf die innere religiöse Einstellung oder die äußere Betätigung des freien Glaubens bzw. Bekenntnisse ausgerichtet sind.32 Äußere Merkmale (bspw. Tragen bestimmter Motive, Kleidung) fallen daher nicht ausnahmslos unter Art. 9 DSGVO, sofern die Auswertungsabsicht nicht genau darauf gerichtet ist (bspw. bei allgemeiner Videoüberwachung).33
11
Die weltanschauliche Überzeugung bezieht sich demgegenüber eher auf die Gesamtansicht der Welt und die Stellung des Einzelnen darin (weltliche Anschauung), womit nicht jedwede Überzeugung gemeint ist, sondern nur ideologische Gesinnungen oder Mitgliedschaften in ethnischen Bünden, nicht jedoch bloße Einstellungen (bspw. Vegetarier, Pazifist).34 Ebenso wenig lässt sich aus einem Namen, Geburts- oder Wohnort die religiöse oder weltanschauliche Überzeugung ableiten.35 Eine klare Abgrenzung zwischen der religiösen sowie der weltanschaulichen Überzeugung kann im Einzelfall schwierig werden, ist wegen des vergleichbaren Schutzrahmens aber auch nicht zwingend erforderlich.36
4. Gewerkschaftszugehörigkeit
12
Bei Fragen nach der Gewerkschaftszugehörigkeit soll vor allem die Koalitionsfreiheit nach Art. 28 GRCh und Art. 9 Abs. 3 GG geschützt werden, womit es um das Verhältnis zwischen Arbeitnehmern und Arbeitgebern geht, im Rahmen dessen eine mögliche Diskriminierung wegen einer Gewerkschaftszugehörigkeit verhindert werden soll. Erfasst werden daher alle Angaben, die sich auf die Zugehörigkeit in entsprechenden Organisationen beziehen, wobei es auf deren politische oder neutrale Ausrichtung nicht ankommt.37 Ausreichend sind gewerkschaftliche Aktivitäten, sodass es auf eine Mitgliedschaft nicht ankommt. Vielmehr ist die Gewerkschaftszugehörigkeit weit auszulegen.38
5. Genetische Daten
13
Eine Definition genetischer Daten findet sich in Art. 4 Nr. 13 DSGVO, wobei das genetische Diskriminierungsverbot sich aus Art. 21 Abs. 1 GRCh ergibt.39 Ergänzt wird die Definition durch den ErwG 34 insoweit, als danach Daten verlangt werden, die sich auf die ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die aus der Analyse einer biologischen Probe der betreffenden Person, insbesondere durch eine Chromosomen-, DNS- oder RNS-Analyse oder der Analyse eines anderen Elements, durch die gleichwertige Informationen erlangt werden können, gewonnen werden und die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person zulassen, beziehen.40 Die Definition ist demnach eng auszulegen, womit reine Äußerlichkeiten (bspw. Augen oder Haarfarbe) nicht erfasst werden.41
6. Biometrische Daten
14
Art. 4 Nr. 14 DSGVO enthält eine Definition der biometrischen Daten. Erfasst werden sowohl Fingerabdrücke als auch die Venen- oder Iris- sowie die Stimmerkennung.42 Mit dem besonderen Schutz dieser Informationen sollen umfassende Persönlichkeitsprofile mithilfe systematischer Zusammenführung solcher Daten verhindert werden.43 Hiermit wird unter anderem auch der besonderen Schnittstelle zwischen realer und digitaler Welt Rechnung getragen.44 Danach kann selbst das Lichtbild unter den Schutzbereich fallen, wenn sie mit speziellen technischen Mitteln verarbeitet werden, durch die eine eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglicht wird (vgl. ErwG 51).45 Das