oder Daten zum Sexualleben oder der sexuellen Orientierung als solche.[71] Insofern schützt Art. 9 nicht nur Daten, die ausdrücklich im Katalog des Art. 9 Abs. 1 genannt sind, sondern es werden auch mittelbare Hinweise auf diese Merkmale dem besonderen Schutz unterworfen.[72] Es kommt dabei auf den vermittelten Informationsgehalt an, nicht auf die Art und Weise der Darstellung und Bezeichnung. Abzustellen ist dabei auf den Verständnis- und Interpretationshorizont des durchschnittlichen Empfängers im jeweiligen Verarbeitungskontext.[73] Problematisch im Hinblick auf mittelbare Hinweise zu Merkmalen i.S.d. Art. 9 ist dabei insbesondere das Verhältnis zu Art. 6. Zentral geht es um die Frage, ob ein weites Verständnis von Art. 9 Abs. 1 dazu führt, dass die Erlaubnistatbestände aus Art. 6 verdrängt werden, da letztlich eine Vielzahl von Informationen Rückschlüsse auf sensible Daten zulassen.[74] Teilweise wird im Falle von mittelbaren Hinweisen vor dem Hintergrund des Schutzzwecks der Norm einschränkend eine Verarbeitungs- und Auswertungsabsicht des Verantwortlichen gefordert.[75] Während die Art.-29-Datenschutzgruppe[76] die Notwendigkeit eines hohen Schutzniveaus betont, wird in diesem Sinne vorgebracht[77], dass es bei der Ableitung von Angaben auf den Verwendungszusammenhang und eine Auswertungsabsicht ankomme, um den Schutzbereich der sensiblen Daten (mit den Anforderungen an eine Verarbeitung aus Art. 9) nicht unnötig auszuweiten. Die DSK vertritt ein restriktives Verständnis des Anwendungsbereichs von Art. 9 und verweist darauf, dass „nicht jede mittelbare Angabe zu den besonderen Kategorien personenbezogener Daten die Anwendung der speziellen (. . .) Verarbeitungsbestimmungen nach sich ziehen“.[78] Die eindeutige Identifizierung der betroffenen Person müsse im Vordergrund stehen, so dass letztlich eine besondere Zweckbestimmung die Anwendbarkeit von Art. 9 auslöse.[79] Dies ist folgerichtig, da in der Praxis aus einer Vielzahl von Informationen sensible Daten hervorgehen können und so der Anwendungsbereich von Art. 9 gegenüber Art. 6 systemwidrig ausgeweitet würde (vgl. dazu auch Rn. 165). Unabhängig von der Beantwortung der Frage bleibt die Notwendigkeit einer Beurteilung im konkreten Einzelfall bestehen. Die Beurteilung hat sich dabei an den Schutzzwecken des Art. 9 zu orientieren.[80]
II. Normadressaten
27
Art. 9 richtet sich in erster Linie an den Verantwortlichen im Sinne des Art. 4 Nr. 7[81]. Daneben werden die Mitgliedstaaten insbesondere durch Art. 9 Abs. 2 lit b, g, h i.V.m. Abs. 2 lit. i und j sowie im Rahmen von Art. 9 Abs. 4 angesprochen.[82]
III. Besondere Kategorien personenbezogener Daten
28
Die Verarbeitung besonderer Kategorien personenbezogener Daten ist Ausfluss des abgestuften Schutzkonzepts der DS-GVO.[83] Dabei wiederholt Art. 9 hinsichtlich der Verarbeitung sensibler Daten das aus Art. 6 Abs. 1 (sowie Art. 8 DSRL) bekannte Verbot mit Erlaubnisvorbehalt. Zum Konkurrenzverhältnis zwischen Art. 6 und 9 vgl. die Ausführungen in Rn. 20 ff.
29
So unterliegt die Verarbeitung der in Art. 9 Abs. 1 benannten besonders schutzwürdigen personenbezogenen Daten einem grundsätzlichen Verarbeitungsverbot (Abs. 1), soweit nicht einer der in Art. 9 Abs. 2 abschließend normierten Ausnahmetatbestände einschlägig ist.[84] Art. 9 Abs. 2 und 3 beinhalten dabei zusätzliche Bedingungen für eine Verarbeitung sensibler Daten. Art. 9 Abs. 3 bezieht sich insbesondere auf Datenverarbeitungen im Gesundheitsbereich, während Art. 9 Abs. 4 besondere Bedingungen für die Verarbeitung genetischer, biometrischer und Gesundheitsdaten festlegt.[85]
30
Art. 9 entfaltet gegenüber Art. 6 Abs. 1 insoweit eine Sperrwirkung, als dass insbesondere die allgemeine Interessenabwägungsklausel des Art. 6 Abs. 1 lit. f aber auch die sonstigen gesetzlichen Erlaubnistatbestände des Art. 6 nicht als Grundlage für eine Verarbeitung sensitiver Daten herangezogen werden kann.
31
Die Ausnahmen in Abs. 2 werden durch zusätzliche Möglichkeiten nationalen Rechts konkretisiert. Besondere Bedeutung kommt hier § 22 BDSG zu, der von den Öffnungsklauseln des Art. 9 Gebrauch macht.
32
Vor dem Hintergrund der Rechtsprechung des EuGH im Hinblick auf die Reichweite einer gemeinsamen Verantwortlichkeit[86] ist es auch im Rahmen von Art. 9 bedeutsam, dass im Rahmen einer gemeinsamen Verantwortlichkeit jeder Verantwortliche für die vorgenommene Verarbeitung sensibler Daten einen eigenen Erlaubnistatbestand anführen können muss, der die Datenverarbeitung für den jeweiligen Verantwortlichen legitimiert.[87] Das für die beteiligten Akteure geltende Erfordernis der Rechtfertigungsbedürftigkeit der Datenverarbeitung verschärft sich dabei letztlich sogar im Rahmen von Art. 9, da Art. 9 strengere Voraussetzungen enthält als
