Art. 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten

(1)Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2)Absatz 1 gilt nicht in folgenden Fällen: a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden, b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist, c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben, d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden, e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat, f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich, g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich, h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich, i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.

(3)Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

(4)Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.

Quelle: © Europäische Union, https://eur-lex.europa.eu · konsolidierte Fassung, Stand: 05.02.2025

Zitierende Gerichtsentscheidungen

BVerwG, Beschl. v. 26.03.2026 – 1 WRB 1.25ECLI:DE:BVerwG:2026:260326B1WRB1.25.0
Für den Befehl eines Disziplinarvorgesetzten, den privaten Impfausweis vorzulegen, gibt es keine ausreichende gesetzliche Grundlage.
BVerwG, Urt. v. 06.03.2026 – 6 C 7.24ECLI:DE:BVerwG:2026:060326U6C7.24.0
1. Von einer privaten Krankenversicherung angebotene Vorsorge- und Präventivprogramme wie etwa Coaching-Angebote bei Diabetes, Asthma oder Rückenleiden sind von dem Begriff der Gesundheitsvorsorge im Sinne der in Art. 9 Abs. 2 Buchst. h DSGVO geregelten Ausnahme von dem Verbot der Verarbeitung von Gesundheitsdaten (Art. 9 Abs. 1 DSGVO) umfasst. 2. Als durch Art. 9 Abs. 2 Buchst. h DSGVO geforderte Rechtsgrundlage für die Datenverarbeitung verstößt § 22 Abs. 1 Nr. 1 Buchst. b BDSG weder gegen das unionsrechtliche Normwiederholungsverbot noch gegen Bestimmtheitsanforderungen. 3. § 22 Abs. 1 Nr. 1 Buchst. b BDSG fordert nicht, dass die mit der Verarbeitung der besonders sensiblen Daten befassten Mitarbeiter einer privaten Krankenversicherung neben § 203 Abs. 1 Nr. 7 StGB zusätzlich einer spezifisch berufsrechtlich geregelten Geheimhaltungspflicht unterliegen.
C-492/23 – X gegen Russmedia Digital SRL und Inform Media Press SRLECLI:EU:C:2025:935
Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 4 Nr. 7 – Begriff ‚Verantwortlicher‘ – Verantwortlichkeit des Betreibers eines Online-Marktplatzes für die Veröffentlichung personenbezogener Daten in Anzeigen, die von inserierenden Nutzern auf seinem Online-Marktplatz platziert werden – Art. 5 Abs. 2 – Grundsatz der Rechenschaftspflicht – Art. 26 – Gemeinsame Verantwortlichkeit mit diesen inserierenden Nutzern – Art. 9 Abs. 1 und Abs. 2 Buchst. a – Anzeigen, die sensible Daten enthalten – Rechtmäßigkeit der Verarbeitung – Einwilligung – Art. 24, 25 und 32 – Pflichten des Verantwortlichen – Vorherige Identifizierung von Anzeigen, die solche Daten enthalten – Vorabprüfung der Identität des inserierenden Nutzers – Verweigerung der Veröffentlichung unrechtmäßiger Anzeigen – Schutzmaßnahmen, die geeignet sind, das Kopieren der Anzeigen und ihre Veröffentlichung auf anderen Websites zu verhindern – Elektronischer Geschäftsverkehr – Richtlinie 2000/31/EG – Art. 12 bis 15 – Möglichkeit für einen solchen Betreiber, sich im Hinblick auf eine Verletzung dieser Verpflichtungen auf die Haftungsbefreiung eines Vermittlers von Diensten der Informationsgesellschaft zu berufen
Sächsisches OVG, Beschl. v. 02.06.2025 – 2 A 26/23
BGH, Urt. v. 27.03.2025 – I ZR 222/19ECLI:DE:BGH:2025:270325UIZR222.19.0
Arzneimittelbestelldaten III Bietet ein Apotheker apothekenpflichtige Arzneimittel über die Internet-Plattform "Amazon-Marketplace" (Amazon) an und erfolgt die Bestellabwicklung dergestalt, dass im Anschluss an die Bestellung und die Übermittlung der Bestelldaten der Apotheker die Bestellung freigibt, das Arzneimittel verpackt und versendet, bringt der Apotheker und nicht Amazon das Arzneimittel im Sinne von § 43 Abs. 1 AMG in den Verkehr.
BGH, Urt. v. 27.03.2025 – I ZR 223/19ECLI:DE:BGH:2025:270325UIZR223.19.0
Arzneimittelbestelldaten II 1. Bestellt ein Kunde über den Account eines Apothekers bei der Internet-Plattform "Amazon-Marketplace" (Amazon) apothekenpflichtige Medikamente, findet eine Erhebung und Verarbeitung von Gesundheitsdaten im Sinne von § 4 Abs. 1 BDSG aF statt. 2. Die Verarbeitung der Bestelldaten ohne ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 Buchst. a DSGVO stellt einen Verstoß gegen eine Marktverhaltensregelung gemäß § 3a UWG dar, für die der Apotheker gemäß § 8 Abs. 2 UWG wettbewerbsrechtlich verantwortlich ist und gegen den ein Mitbewerber im Wege der Klage vor den Zivilgerichten unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken vorgehen kann.
C-65/23 – MK gegen K GmbHECLI:EU:C:2024:1051
Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 88 Abs. 1 und 2 – Datenverarbeitung im Beschäftigungskontext – Personenbezogene Beschäftigtendaten – Von einem Mitgliedstaat gemäß Art. 88 dieser Verordnung vorgesehene spezifischere Vorschriften – Pflicht zur Einhaltung von Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 dieser Verordnung – Verarbeitung auf der Grundlage einer Kollektivvereinbarung – Spielraum der Parteien der Kollektivvereinbarung in Bezug auf die Erforderlichkeit der darin vorgesehenen Verarbeitung personenbezogener Daten – Umfang der gerichtlichen Überprüfung
C-169/23 – Nemzeti Adatvédelmi és Információszabadság Hatóság gegen UCECLI:EU:C:2024:988
Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und freier Datenverkehr – Verordnung (EU) 2016/679 – Bei der Ausstellung eines Covid‑19-Zertifikats verarbeitete Daten – Daten, die nicht bei der betroffenen Person erhoben wurden – Informationspflicht – Ausnahme von der Informationspflicht – Art. 14 Abs. 5 Buchst. c – Vom Verantwortlichen im Rahmen seines eigenen Verfahrens erzeugte Daten – Beschwerderecht – Zuständigkeit der Aufsichtsbehörde – Art. 77 Abs. 1 – Geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person gemäß dem Recht des Mitgliedstaats, dem der Verantwortliche unterliegt – Maßnahmen zur Sicherheit der Verarbeitung von Daten – Art. 32
C-21/23 – ND gegen DRECLI:EU:C:2024:846
Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Kapitel VIII – Rechtsbehelfe – Vertrieb von Arzneimitteln durch einen Apotheker über eine Onlineplattform – Unter dem Gesichtspunkt des Verbots unlauterer Geschäftspraktiken bei den Zivilgerichten erhobene Klage eines Mitbewerbers des Apothekers wegen dessen Verstoßes gegen die in dieser Verordnung vorgesehenen Pflichten – Klagebefugnis – Art. 4 Nr. 15 und Art. 9 Abs. 1 und 2 – Richtlinie 95/46/EG – Art. 8 Abs. 1 und 2 – Begriff ‚Gesundheitsdaten‘ – Voraussetzungen für die Verarbeitung dieser Daten
C-446/21 – Maximilian Schrems gegen Meta Platforms Ireland LimitedECLI:EU:C:2024:834
Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Soziale Online-Netzwerke – Allgemeine Nutzungsbedingungen für Verträge zwischen einer digitalen Plattform und einem Nutzer – Personalisierte Werbung – Art. 5 Abs. 1 Buchst. b – Grundsatz der Zweckbindung – Art. 5 Abs. 1 Buchst. c – Grundsatz der Datenminimierung – Art. 9 Abs. 1 und 2 – Verarbeitung besonderer Kategorien personenbezogener Daten – Daten zur sexuellen Orientierung – Von der betroffenen Person öffentlich gemachte Daten

Diese Seite zeigt die aktuelle Fassung (Quelle: © Europäische Union, https://eur-lex.europa.eu). Für tagesaktuelle, zitiersichere Abfragen lässt sich Art. 9 DSGVO und jede andere deutsche oder europäische Rechtsquelle live per Lawbster-MCP abrufen.

Kann ich Art. 9 DSGVO direkt in ChatGPT oder Claude abfragen?

Ja. Über Lawbster (MCP-Server) greifen KI-Assistenten wie Claude, ChatGPT, Cursor und Copilot Studio — oder eigene Anwendungen per REST-API — direkt auf den tagesaktuellen Volltext deutscher und europäischer Gesetze, Verordnungen und Gerichtsentscheidungen zu. Free-Tier verfügbar.

Diese Norm ist Teil von Lawbster — verifizierte deutsche und europäische Gesetze, Verordnungen und Gerichtsentscheidungen, live in jedem KI-Assistenten per MCP (Claude, ChatGPT, Cursor, Copilot Studio u. a.) oder über die REST-API. API-Key holen.