Art. 9 DSGVO: Gesundheitsdaten einfach erklärt

Art. 9 DSGVO verbietet grundsätzlich die Verarbeitung besonders sensibler Daten, etwa Gesundheitsdaten, genetischer oder biometrischer Daten. Erlaubt ist sie nur, wenn eine der Ausnahmen in Art. 9 Abs. 2 greift, zum Beispiel eine ausdrückliche Einwilligung oder die medizinische Behandlung durch Personen, die einer Schweigepflicht unterliegen. Für diese Daten gelten höhere Anforderungen an Sicherheit und Dokumentation als für gewöhnliche personenbezogene Daten.

Ein Beispiel aus dem Alltag

Die Personalabteilung der Muster Maschinenbau GmbH (ein erfundenes Beispiel) erhält eine Krankmeldung, einen Antrag auf Wiedereingliederung und den Nachweis einer Schwerbehinderung. Alle drei enthalten Gesundheitsdaten. Die Firma darf sie verarbeiten, weil das Arbeits- und Sozialrecht es verlangt. Sie darf sie aber nicht in ein beliebiges KI-Werkzeug kopieren, um „schnell eine Zusammenfassung“ zu bekommen, ohne zu prüfen, wo diese Daten landen.

Für die Arztpraxis nebenan sind Gesundheitsdaten der Normalfall: Anamnese, Befund, Diagnose, Arztbrief. Hier greift die Ausnahme für die Behandlung, zusätzlich gilt die ärztliche Schweigepflicht.

Die Regeln im Einzelnen

Welche Daten sind besondere Kategorien?

Art. 9 Abs. 1 DSGVO nennt:

rassische und ethnische Herkunft
politische Meinungen
religiöse oder weltanschauliche Überzeugungen
Gewerkschaftszugehörigkeit
genetische Daten
biometrische Daten zur eindeutigen Identifizierung, etwa Fingerabdruck oder Gesichtsabgleich
Gesundheitsdaten
Daten zum Sexualleben oder zur sexuellen Orientierung

Was sind Gesundheitsdaten?

Art. 4 Nr. 15 DSGVO definiert Gesundheitsdaten als Daten über die körperliche oder geistige Gesundheit einer Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, aus denen Informationen über ihren Gesundheitszustand hervorgehen. Der Begriff ist weit. Dazu zählen nicht nur Diagnosen und Laborwerte, sondern auch:

Medikationspläne und Rezepte
Termine bei einer Fachärztin, die Rückschlüsse zulassen
Krankmeldungen und Angaben zu einer Behinderung
Therapienotizen und Gesprächsprotokolle
Daten aus Fitness- und Gesundheits-Apps, soweit sie Aussagen über den Gesundheitszustand erlauben

Der Europäische Gerichtshof hat 2022 klargestellt, dass auch Angaben unter Art. 9 fallen können, aus denen sich sensible Informationen nur mittelbar ableiten lassen.

Die Ausnahmen (Art. 9 Abs. 2)

Die Verarbeitung ist erlaubt, wenn unter anderem eine dieser Ausnahmen greift:

ausdrückliche Einwilligung der betroffenen Person (lit. a)
Pflichten aus Arbeitsrecht und sozialer Sicherheit (lit. b)
Schutz lebenswichtiger Interessen, wenn die Person nicht einwilligen kann (lit. c)
Geltendmachung oder Verteidigung von Rechtsansprüchen (lit. f)
Gesundheitsvorsorge, Diagnostik und Behandlung durch Fachpersonal, das einer Schweigepflicht unterliegt (lit. h in Verbindung mit Abs. 3)
öffentliche Gesundheit sowie Forschung und Statistik unter besonderen Garantien (lit. i und j)

In Deutschland konkretisiert § 22 BDSG mehrere dieser Ausnahmen und verlangt angemessene Schutzmaßnahmen.

Was zusätzlich gilt

Eine Rechtsgrundlage nach Art. 6 braucht es weiterhin, Art. 9 kommt hinzu.
Bei umfangreicher Verarbeitung ist oft eine Datenschutz-Folgenabschätzung nötig (Art. 35).
Sicherheitsmaßnahmen müssen dem hohen Risiko entsprechen (Art. 32), etwa Verschlüsselung und strenge Zugriffsrechte.
Verstöße können mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden.

Für Ärzte, Psychotherapeuten und andere Berufsgeheimnisträger gilt daneben die strafbewehrte Schweigepflicht nach § 203 StGB.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.

Was Art. 9 nicht schützt

Art. 9 ist die strengste Regel der DSGVO, aber sie hängt an derselben Bedingung wie alle anderen: Die Daten müssen sich auf eine erkennbare Person beziehen. Gesundheitsdaten sind eine Unterart der personenbezogenen Daten. Fällt der Personenbezug weg, fällt auch der Schutz weg.

Das ist kein Randthema, denn Gesundheitsdaten sind wertvoll. Diagnose, Wirkstoff, Dosis und Verlauf, ohne Namen und Geburtsdatum, sind genau das, was Arzneimittelhersteller, Versicherer und KI-Entwickler als „Real-World-Daten“ nachfragen. Anonymisierte Datensätze dürfen rechtmäßig gebündelt, lizenziert und verkauft werden.

Zwei Fallen sind dabei typisch:

Pseudonymisiert ist nicht anonym. Ein Code statt des Namens hebt den Schutz nicht auf, jedenfalls nicht für den, der die Zuordnung kennt. Die französische Datenschutzbehörde CNIL verhängte im Mai 2026 gegen ein Unternehmen aus dem Gesundheitsdatenbereich ein Bußgeld von 5 Millionen Euro. Das Unternehmen hatte seine Verschreibungsdaten für anonym gehalten; die CNIL stufte sie als nur pseudonymisiert und mit vertretbarem Aufwand wieder zuordenbar ein. Das Bußgeld umfasste mehrere Verstöße. Mehr dazu in Pseudonymisierung und Anonymisierung.
Lizenzen in Nutzungsbedingungen. Wer einem Anbieter erlaubt, Inhalte weiterzuverwenden, öffnet die Tür, aus Patientendokumenten anonymisierte Datensätze zu machen.

Wie aus einem Arztbrief eine Zeile in einem Datensatz wird, zeigt Die Datenspur. Den Markt dahinter beschreibt Legal verkäuflich.

Was das für KI-Werkzeuge bedeutet

Bevor Gesundheitsdaten in ein KI-Werkzeug gehen, prüfen Sie:

Gibt es eine Ausnahme nach Art. 9 Abs. 2 für diesen Zweck, und haben Sie, wo nötig, die Einwilligung der Patientin?
Ist der Anbieter Auftragsverarbeiter mit AVV und an Ihre Weisungen gebunden?
Wird mit den Eingaben trainiert, oder darf der Anbieter sie laut Nutzungsbedingungen weiterverwenden?
Wo wird gehostet, und speichern die angebundenen Modellanbieter Daten?

Wysor verarbeitet Ihre Inhalte als Auftragsverarbeiter nur, um den Dienst für Sie zu erbringen. Wir nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht mit Ihren Inhalten und verkaufen sie nicht, auch nicht anonymisiert. Das steht im Vertrag und bindet auch jeden künftigen Eigentümer. Die Daten sind verschlüsselt und werden in der EU gehostet, bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention. Unsere eigenen Mitarbeitenden sind in Textform zur Verschwiegenheit verpflichtet und nach § 203 Abs. 4 StGB belehrt. Die Befugnis zur Weitergabe, etwa die Einwilligung Ihrer Patienten, bleibt dabei Ihre Aufgabe. So hilft Wysor Praxen und Kliniken, das Haftungsrisiko beim KI-Einsatz zu senken.

Häufige Fragen

Was regelt Art. 9 DSGVO? Art. 9 verbietet die Verarbeitung besonderer Kategorien personenbezogener Daten, etwa Gesundheitsdaten, und lässt sie nur unter den Ausnahmen des Abs. 2 zu.

Was sind besondere Kategorien personenbezogener Daten? Daten zu ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung.

Ist eine Krankmeldung ein Gesundheitsdatum? Ja. Schon die Information, dass jemand arbeitsunfähig erkrankt ist, sagt etwas über den Gesundheitszustand aus und fällt unter Art. 9.

Brauche ich für Gesundheitsdaten immer eine Einwilligung? Nein. Für die Behandlung selbst greift in der Regel Art. 9 Abs. 2 lit. h. Für andere Zwecke, etwa die Weitergabe an Dritte außerhalb der Behandlung, kann eine ausdrückliche Einwilligung nötig sein.

Gilt Art. 9 für anonymisierte Gesundheitsdaten? Nein. Wirklich anonymisierte Daten fallen nicht mehr unter die DSGVO. Pseudonymisierte Gesundheitsdaten dagegen schon, jedenfalls für jeden, der die Zuordnung herstellen kann.

Weiterlesen

§ 203 StGB einfach erklärt. Die Schweigepflicht neben der DSGVO.
Pseudonymisierung und Anonymisierung. Wo der Schutz endet.
Datenschutz in der KI-Psychotherapie. Art. 9 in der therapeutischen Praxis.
Die Datenspur. Was aus einem Arztbrief werden kann.

Fragen zu Gesundheitsdaten, AVV oder Schweigepflicht? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.

Wysor kostenlos testen →