B. Das Verarbeitungsverbot
Was genau verboten ist, wen das Verbot trifft und welche Folgen ein Verstoß hat.
Zurück zur Übersicht Art. 9 DS-GVO.
Auf einen Blick
Art. 9 Abs. 1 verbietet es, sensible Daten zu verarbeiten. Dieses Verbot gilt abstrakt – das heißt: Es kommt nicht darauf an, ob im Einzelfall wirklich jemand geschädigt wird. Allein der Typ der Daten reicht, um das Verbot auszulösen.
I. Was genau verboten ist
Das Verbot trifft alle Formen der Verarbeitung, also zum Beispiel:
- Sammeln und Speichern
- Lesen und Auswerten
- Weitergeben und Veröffentlichen
- Löschen und Vernichten
Auch das Verarbeiten von Metadaten ist verboten, wenn sich daraus sensible Informationen ableiten lassen.
Was bedeutet „aus denen … hervorgehen"?
Nicht jedes Datum, das zufällig etwas Sensibles enthält, löst automatisch das Verbot aus. Entscheidend ist:
- a) Die Daten sind geeignet, etwas Sensibles zu verraten – direkt oder durch Kombination mit anderen Daten
- b) Wenn der Verantwortliche den sensiblen Inhalt zielgerichtet auswertet, gilt Art. 9 zwingend
Wichtig: Der Europäische Gerichtshof hat klargestellt, dass Art. 9 auch greift, wenn die Verarbeitung unbeabsichtigt war – sobald die Daten objektiv geeignet sind, sensible Eigenschaften zu verraten.
II. Wen das Verbot trifft
Das Verbot richtet sich an Verantwortliche – also alle, die über Zweck und Mittel der Datenverarbeitung entscheiden:
- Unternehmen und Firmen
- Behörden
- Vereine
- Arztpraxen
- Privatpersonen (soweit die DS-GVO gilt)
Auftragsverarbeiter (z. B. IT-Dienstleister) sind mittelbar betroffen, weil sie nur auf Weisung des Verantwortlichen handeln dürfen.
Wessen Daten sind geschützt?
Geschützt sind Daten über lebende natürliche Personen. Firmen oder andere Organisationen fallen nicht darunter.
Räumlicher Geltungsbereich
Art. 9 gilt, wenn:
- a) der Verantwortliche oder Auftragsverarbeiter in der EU sitzt, oder
- b) es um Daten von Personen in der EU geht, denen Dienste angeboten werden oder deren Verhalten beobachtet wird
III. Warum das Verbot existiert
IV. Folgen eines Verstoßes
Für die betroffene Person
| Anspruch | Grundlage |
|---|---|
| Löschung der Daten | Art. 17 Abs. 1 lit. d DS-GVO |
| Einschränkung der Verarbeitung | Art. 18 DS-GVO |
| Schadensersatz (auch für seelischen Schaden) | Art. 82 DS-GVO |
Für den Verantwortlichen
Häufige Fragen (FAQ)
Gilt das Verbot auch, wenn ich nichts Böses vorhatte? Ja. Das Verbot gilt unabhängig von der Absicht – entscheidend ist, welche Art von Daten verarbeitet wird.
Was ist ein „Verantwortlicher"? Jeder, der allein oder gemeinsam mit anderen entscheidet, warum und wie Daten verarbeitet werden.
Darf ein IT-Dienstleister sensible Daten verarbeiten? Nur wenn ein Verantwortlicher (z. B. ein Krankenhaus) ihn dazu beauftragt und die gesetzlichen Anforderungen erfüllt sind.
Weiter: B.III Die einzelnen Kategorien