insbesondere auch die zweckändernde Weiterverarbeitung nach Art. 6 Abs. 4 i.R.d. Art. 9 nicht ohne Weiteres anwendbar ist. Insofern muss im Rahmen einer gemeinsamen Verantwortlichkeit jeder Verantwortliche die Zulässigkeit der Datenverarbeitung anhand der Voraussetzungen von Art. 9 begründen können.
1. Grundsätzliches Verbot der Verarbeitung nach Art. 9 Abs. 1
33
Das grundsätzliche Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten folgt aus Art. 9 Abs. 1. Der Katalog der in Art. 9 Abs. 1 aufgezählten Datenkategorien ist abschließend.[88]
34
Danach ist also die Verarbeitung personenbezogener Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt. Zu den unterschiedlichen Kategorien sensibler Daten im Rahmen von Art. 9 Abs. 1 vgl. Rn. 26.
35
Dabei kommt es nicht auf die Zweckrichtung oder Zielsetzung der Daten oder deren Verarbeitung an und auch nicht darauf, ob sich die Datenverarbeitung möglicherweise positiv oder negativ für den Betroffenen auswirken kann. Eine strikt objektive Betrachtungsweise, die für eine Anwendbarkeit von Art. 9 ausschließlich darauf abstellt, ob sich mit „hinlänglicher Sicherheit“ besonders sensible Daten aus Informationen herleiten lassen und so den Anwendungsbereich des Art. 9 eröffnen, geht daher zu weit.[89] Zwar folgt Art. 9 Abs. 1 einer gewissen Form der Pauschalisierung[90], entscheidend ist jedoch, dass die Zuordnung zu einer bestimmten Datenkategorie stets anhand des Schutzzwecks des Art. 9 (Schutz vor Persönlichkeitsrechtsverletzungen und vor Diskriminierungen) erfolgt.[91] Es bedarf daher einer kontextbezogenen Betrachtungsweise bei der Zuordnung zu einer bestimmten Datenkategorie.[92] Die DSK weist dementsprechend darauf hin, dass nicht jede (mittelbare) Angabe zu sensiblen Daten unmittelbar den strengen Voraussetzungen von Art. 9 unterfällt.[93] Entscheidend sei, ob die eindeutige Identifizierung der betroffenen Person im Vordergrund stehe und damit letztlich eine besondere Zweckbestimmung erfolge.[94] Vgl. dazu auch Rn. 26 sowie Rn. 165.
a) Rassische und ethnische Herkunft
36
Das Begriffspaar der rassischen und ethnischen Herkunft zielt auf die Zugehörigkeit zu einer bestimmten Bevölkerungsgruppe ab, die etwa durch die gemeinsame Herkunft, Kultur oder durch ein Zusammengehörigkeitsgefühl geprägt wird.[95] Informationen über die rassische Herkunft schließen dabei etwa Angaben über die Hautfarbe oder sonstige äußere Merkmale ein.[96]
37
Der Begriff der Ethnie bezeichnet dabei eine Menschengruppe oder Minderheit mit einer einheitlichen Kultur und ist insofern nicht deckungsgleich mit dem Begriff der „Rasse“. Unter den Begriff der Ethnie fallen folglich etwa die Sprache sowie die kulturelle Beziehung eines Menschen zu seinen Vorfahren.[97]
38
Auch aus dem Namen lassen sich in Verbindung mit anderen Informationen unter Umständen eine rassische oder ethnische Herkunft ableiten.[98]
39
Kein Datum über die rassische oder ethnische Herkunft stellt etwa die Staatsangehörigkeit oder geographische Herkunft einer Person dar. Ebenso wenig stellt die Zugehörigkeit zu einer bestimmten sozialen Schicht ein Datum in diesem Sinne dar.[99]
40
Mit dieser Schutzkategorie sollen bei der Verarbeitung sensibler Daten Diskriminierungen entsprechend Art. 21 Abs. 1 GRCh bzw. Art. 3 Abs. 3 GG verhindert werden. Dies stellt auch ErwG 51 S. 2 Hs. 2 klar, indem erklärt wird, dass der Begriff der „rassischen Herkunft“ in der DS-GVO nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt.
b) Politische Meinungen
41
Der rassischen und ethnischen Herkunft nachfolgend nennt der Katalog des Art. 9 Abs. 1 Daten, aus denen die politische Meinungen des Betroffenen hervorgeht. Eine nähere Definition des Begriffs der politischen Meinungen enthält die DS-GVO nicht.
42
Der Begriff der politischen Meinung erstreckt sich dabei i.S. e. weiten Begriffsverständnisses nicht nur auf das bloße „Haben“ einer politischen Meinung im Sinne der Unterstützung bzw. Ablehnung bestimmter Ideen, Ideale oder parteipolitischen Überzeugungen, sondern erfasst zugleich die Tätigkeit im Sinne dieser Meinung soweit sie im Einklang mit dem geltenden Recht erfolgt.[100]
43
Zu dieser Schutzkategorie gehört etwa die Zugehörigkeit zu einer politischen Partei, die Mitarbeit in politischen und ähnlichen Stiftungen oder Organisationen, die Teilnahme an Petitionen, Unterschriftenlisten im Rahmen eines Bürgerbegehrens oder das Engagement bei einer Versammlung oder Demonstration.[101]
44
Insofern weist diese Datenkategorie einen engen Bezug zum Schutz der Meinung (Art. 5 GG, Art. 11 GRCh) sowie zur Versammlungsfreiheit (Art. 8 GG, Art. 12 GRCh) auf.
45
Ob der Besuch einer entsprechenden Veranstaltung oder eine bestimmte politische Tätigkeit einen Rückschluss auf eine politische Meinung erlaubt, hängt von der Art der Betätigung und dem Kontext, etwa der Veranstaltung, ab.
46
Daraus folgt, dass Meinungen, die sich auf rein kommerzielle Sachverhalte ohne jeglichen politischen Kontext beziehen sowie wertende Betrachtungen ausschließlich privater Natur von der Begriffsdefinition nicht erfasst sind.[102]
47
Vor diesem Hintergrund stellt sich die Frage,
