Regeln
Welche Daten das Gesetz besonders schützt, warum die Verarbeitung ohne Ausnahme verboten ist und was das für Akten in einem KI-Chatbot bedeutet.
Es sind personenbezogene Daten, die so sensibel sind, dass die DSGVO ihre Verarbeitung verbietet, sofern keine gesetzliche Ausnahme gilt. Es geht um Daten, aus denen Herkunft, politische Meinungen, Glauben oder Gewerkschaftszugehörigkeit hervorgehen, sowie Gesundheitsdaten, Daten zum Sexualleben oder zur sexuellen Orientierung, genetische Daten und biometrische Daten zur Identifizierung.
Das Gesetz selbst spricht von „besonderen Kategorien personenbezogener Daten“. Die Liste steht in Art. 9 Abs. 1 DSGVO und ist abschließend: Was nicht daraufsteht, ist keine besondere Datenkategorie, wie sensibel es auch erscheinen mag. Die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde, erklärt auf ihrer Seite was sind personenbezogene Daten, warum diese Kategorie besteht: Die Daten sind so sensibel, dass ihre Verarbeitung erhebliche Folgen für jemanden haben kann. Dieser Artikel ist eine Erläuterung, keine Rechtsberatung. Ob eine Ausnahme in Ihrer Situation gilt, beurteilen Sie mit Ihrem Datenschutzbeauftragten oder einem Juristen.
Art. 9 Abs. 1 nennt acht Arten.
Bei den ersten vier Arten geht es laut Gesetzestext um Daten, aus denen etwas „hervorgeht“. Die Angabe muss also nicht in einem beschrifteten Feld stehen. Ein Satz in einer Gesprächsnotiz, aus dem Sie Glauben oder Gewerkschaftszugehörigkeit ableiten können, fällt darunter.
Die Definition in Art. 4 umfasst Daten zur körperlichen und geistigen Gesundheit sowie zu erbrachten Gesundheitsleistungen, aus denen Informationen zum Gesundheitszustand hervorgehen. Auch eine Krankmeldung oder Überweisung kann daher ein Gesundheitsdatum sein.
Häufiger als gedacht und selten dort, wo Sie sie erwarten. Die Tabelle zeigt je Kategorie ein fiktives Beispiel und Dokumente, in denen Büros diese Daten finden. Die letzten beiden Zeilen sind keine besonderen Datenkategorien, werden aber häufig damit verwechselt.
| Kategorie | Beispiel | Wo sie in Akten auftaucht |
|---|---|---|
| Gesundheit | „Ist seit März mit Burn-out zu Hause“ | Fehlzeitenakte, E-Mail an die Führungskraft, Personenschadenakte, Versicherungsantrag |
| Rassische oder ethnische Herkunft | Geburtsland der Eltern auf einem Aufnahmeformular | Personalakte, Mandantenakte, Antragsformular |
| Politische Meinungen | „Sitzt für eine Partei im Gemeinderat“ | Lebenslauf, Bewerbungsschreiben, Notiz zu Nebentätigkeiten |
| Glauben oder Weltanschauung | Urlaubsantrag für einen religiösen Feiertag | Urlaubsantrag, Gesprächsnotiz, Mitgliederliste |
| Gewerkschaftszugehörigkeit | Beitragsabzug auf der Gehaltsabrechnung | Lohnabrechnung, Protokoll einer Besprechung zur Umstrukturierung |
| Genetische Daten | Ergebnis einer Untersuchung auf Erbkrankheiten | Patientenakte, Versicherungsakte |
| Biometrische Daten zur Identifizierung | Fingerabdruck für Gebäudezutritt | Zugangssystem, Zeiterfassung, Anmeldung per Gesichtserkennung |
| Sexualleben oder sexuelle Orientierung | Bemerkung zur Orientierung in einer Beschwerde über den Umgang | Beschwerdeakte, Bericht einer Vertrauensperson, familienrechtliche Akte |
| Strafrechtliche Daten (keine besondere Datenkategorie) | Diebstahlsanzeige gegen einen Mitarbeiter | Kündigungsakte, Schadenakte, Überprüfung |
| BSN (keine besondere Datenkategorie) | Nummer auf einer Gehaltsabrechnung | Lohnabrechnung, Ausweiskopie, Versicherungsschein |
Eine Fehlzeitenakte enthält Namen, BSN und Gesundheitsdaten. Die strengste Datenart im Dokument bestimmt, was Sie für das gesamte Dokument regeln müssen.
Bei gewöhnlichen personenbezogenen Daten ist die Frage, ob Sie eine Rechtsgrundlage haben. Bei besonderen Kategorien kehrt das Gesetz es um: Art. 9 Abs. 1 verbietet die Verarbeitung, Absatz 2 zählt auf, wann das Verbot nicht gilt.
Sie brauchen also zwei Dinge. Die AP erklärt auf ihrer Seite Rechtsgrundlagen der DSGVO erläutert: Die Verarbeitung ist verboten, sofern Sie sich nicht auf eine Ausnahme berufen können; zusätzlich brauchen Sie eine der Rechtsgrundlagen für gewöhnliche personenbezogene Daten.
Der Grund ist das Risiko. Die AP nennt bei Datenpannen Diskriminierung als möglichen Schaden durch offengelegte Daten zu Herkunft, Glauben oder sexueller Orientierung. Das Gesetz wiegt auch andernorts schwerer: Bei umfangreicher Verarbeitung ist eine DSFA erforderlich (Art. 35), und bei einer Datenpanne berücksichtigen Sie laut AP jedenfalls ein hohes Risiko. Siehe Was ist eine Datenpanne?.
Art. 9 Abs. 2 enthält zehn Ausnahmen. Laut AP gelten fünf nur, wenn nationales Recht eine Grundlage schafft. Zusammengefasst:
Die Einwilligung muss ausdrücklich für einen festgelegten Zweck erfolgen und kann widerrufen werden. Danach haben Sie keine Ausnahme mehr. Stützen Sie einen Arbeitsprozess deshalb nicht auf Einwilligung, wenn eine andere Ausnahme passt.
Ein Arzt darf Gesundheitsdaten für die Behandlung verarbeiten, ein Anwalt für ein Gerichtsverfahren. Das sagt noch nichts darüber, was danach mit den Daten geschehen darf. Dieselben Daten für einen anderen Zweck oder mit einem anderen Hilfsmittel zu verarbeiten, verlangt erneut die Prüfung: Ist dies für diesen Zweck erforderlich?
Die Niederlande haben die Ausnahmen in Art. 22 bis 30 des niederländischen DSGVO-Ausführungsgesetzes ausgestaltet (Fassung seit 1. September 2026). Art. 22 wiederholt das Verbot. Danach folgen Regeln je Datenart.
Das Gesetz enthält auch Art. 23a über verpflichtende Wirtschaftsprüfungsaufträge; laut Text auf wetten.overheid.nl war dieser Teil am 13. Oktober 2026 noch nicht in Kraft.
Art. 30 nennt je Organisationsart, wann das Verbot nicht gilt.
Dazu gehört eine häufig vergessene Bedingung. Nach Absatz 4 verarbeiten nur Personen die Daten, die aufgrund von Amt, Beruf, Rechtsvorschrift oder Vertrag zur Verschwiegenheit verpflichtet sind.
Die AP weist auf ihrer Seite zu Biometrie darauf hin, dass die Bestätigung einer Identität durch biometrische Daten denselben Regeln unterliegt wie die Identifizierung.
Laut AP sind strafrechtliche Daten und BSN keine besonderen Kategorien personenbezogener Daten im Sinne der DSGVO. Für beide gelten jedoch besondere Regeln.
Art. 10 DSGVO bestimmt, dass personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nur unter behördlicher Aufsicht oder mit gesetzlicher Erlaubnis verarbeitet werden dürfen. Laut AP können auch begründete Verdachtsmomente dazugehören: konkrete Hinweise darauf, dass jemand eine Straftat begangen hat.
Das niederländische DSGVO-Ausführungsgesetz konkretisiert dies in Art. 31 bis 33. Art. 32 enthält allgemeine Gründe wie ausdrückliche Einwilligung und Rechtsansprüche. Art. 33 enthält besondere Gründe: Eine Organisation darf etwa strafrechtliche Daten zum Schutz eigener Interessen verarbeiten, bei gegen sie oder ihr Personal begangenen oder voraussichtlichen Straftaten.
Seit dem 1. September 2026 enthält Art. 33 einen fünften Absatz: Strafrechtliche Daten dürfen verarbeitet werden, wenn dies für einen gesetzlich vorgeschriebenen Auftrag eines Wirtschaftsprüfers erforderlich ist. Die AP nennt diese Ausnahme auf ihrer Seite zu Rechtsgrundlagen.
Art. 87 DSGVO überlässt Regeln für nationale Identifikationsnummern den Mitgliedstaaten. Art. 46 des niederländischen DSGVO-Ausführungsgesetzes ist kurz: Eine gesetzlich vorgeschriebene Identifikationsnummer wird nur zur Ausführung dieses Gesetzes oder für gesetzlich genannte Zwecke verwendet. Die AP fasst es auf ihrer Seite zur BSN zusammen: Nichtstaatliche Organisationen dürfen die BSN nur verwenden, wenn dies gesetzlich bestimmt ist, etwa im Gesundheits- und Bildungswesen.
Ein Ernährungswunsch, Abwesenheit am Freitagnachmittag, Mitgliedschaft in einer Patientenvereinigung: Daraus lässt sich etwas ableiten. Wie weit dies bei indirekten Hinweisen reicht, ist eine juristische Frage, die der Gesetzestext nicht im Detail beantwortet. Gehen Sie praktisch davon aus, dass Daten, aus denen sich ein besonderes Merkmal vernünftigerweise ableiten lässt, die strengere Behandlung verdienen, und fragen Sie im Zweifel einen Juristen.
Ein Foto ist nicht automatisch eine besondere Datenkategorie. Erwägungsgrund 51 DSGVO sagt, dass die Verarbeitung von Fotos nicht grundsätzlich als Verarbeitung besonderer Kategorien gelten sollte: Fotos sind nur biometrische Daten, wenn sie mit technischen Mitteln verarbeitet werden, die eindeutige Identifizierung oder Authentifizierung ermöglichen. Ein Passfoto in einer Personalakte gilt daher in der Regel als gewöhnliches personenbezogenes Datum. Dasselbe Foto in einem Gesichtserkennungssystem nicht.
Finanz-, Standort- und Kommunikationsdaten sind laut AP sensibel, aber keine besonderen Kategorien. Das Verbot aus Art. 9 gilt nicht; bei Sicherheit und Datenpannen fallen sie aber stark ins Gewicht.
„Wir haben einen Vertrag mit dem Mandanten“ ist eine Rechtsgrundlage aus Art. 6. Es ist keine Ausnahme aus Art. 9. Wer Gesundheitsdaten eines Mandanten verarbeitet, braucht beides.
Die Ausnahme deckt einen Zweck. Ein neues System oder ein neuer Empfänger verlangt eine neue Prüfung, einen Eintrag im Verarbeitungsverzeichnis und häufig eine DSFA.
Die Frage ist, ob Ihre Organisation die Daten mit diesem System verarbeiten darf. Dafür brauchen Sie dasselbe: eine Rechtsgrundlage und eine Ausnahme, für diesen Zweck und mit diesem Empfänger.
Wer eine Fehlzeitenakte zur Zusammenfassung in ein Chatfenster einfügt, übermittelt Gesundheitsdaten an dessen Anbieter. Die Ausnahme für Wiedereingliederung wurde für die Begleitung des Arbeitnehmers geschrieben. Ob sie auch die Übermittlung der Akte an einen allgemeinen KI-Dienst deckt, ist eine Frage der Erforderlichkeit.
Die AP warnte 2024 nach Datenpannenmeldungen, darunter eine Hausarztpraxis, in der ein Mitarbeiter entgegen den Vereinbarungen medizinische Patientendaten in einen KI-Chatbot eingegeben hatte.
Was Sie je Datenart regeln müssen, bevor sie in einen Chatbot darf, steht in Mandantendaten in einem KI-Chatbot: Regeln je Datenart. Bei Berufsgruppen mit Verschwiegenheitspflicht kommt das Berufsgeheimnis hinzu; siehe Berufsgeheimnis und KI.
Art. 22 Abs. 4 DSGVO ist bei vollständig automatisierten Entscheidungen streng: Sie dürfen nicht auf besonderen Kategorien beruhen, außer mit ausdrücklicher Einwilligung oder bei erheblichem öffentlichen Interesse auf gesetzlicher Grundlage und mit angemessenen Maßnahmen. Wer KI zur Auswahl oder Beurteilung von Menschen nutzt, muss dies berücksichtigen.
PrivaSearch ist für Schritt 3 gemacht. Personenbezogene Daten wie Namen, Anschriften, BSN, IBAN, Kennzeichen und Geburtsdaten werden innerhalb von PrivaSearch erkannt und durch Pseudonyme ersetzt. Danach sieht ein Kollege das Original neben dem pseudonymisierten Text, ergänzt Übersehenes und gibt frei. Erst dann ist ein Dokument durchsuchbar. Die Schritte stehen auf so funktioniert PrivaSearch.
Bei besonderen Datenkategorien ist eines wichtig zu verstehen. Pseudonymisierung entfernt, um wen es im Satz geht, nicht den Satzinhalt. „Ist mit Burn-out zu Hause“ bleibt erhalten, verbunden mit einem Pseudonym statt eines Namens. Für Ihre Organisation bleibt das ein Gesundheitsdatum: Ausnahme vom Verbot, Rechtsgrundlage und DSFA bleiben Ihre Aufgabe. Ein indirekt zuordenbares Detail braucht einen aufmerksamen Prüfer; deshalb ist die Prüfung verpflichtend.
Ein verbundener Assistent erhält nur freigegebene, pseudonymisierte Textstellen und keine Originaldateien, Dateinamen oder Links. Verbindungen sind mit Claude, ChatGPT Business und Mistral Vibe (früher Le Chat) möglich. Was Sie selbst in den Assistenten eingeben, geht direkt an dessen Anbieter: Geben Sie dort keine Namen ein. Mehr steht auf ChatGPT, Claude, Mistral Vibe und die DSGVO.
Ihre Umgebung erstellt Ausgangsdokumente, darunter eine DSFA-Vorlage und die ausformulierte Rechtsgrundlage einschließlich des Ausnahmegrunds bei besonderen Kategorien. Das ist keine Rechtsberatung; siehe DSGVO und EU AI Act. Möchten Sie es mit Ihrer Aktenart sehen, fragen Sie eine Demo an.
Es sind Daten, aus denen rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder Gewerkschaftszugehörigkeit hervorgehen, außerdem genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten und Daten zu Sexualleben oder sexueller Orientierung. Die Verarbeitung ist verboten, sofern keine gesetzliche Ausnahme gilt.
Nein. Die BSN steht nicht in der DSGVO-Liste. Es gelten eigene Regeln: Eine gesetzlich zur Identifizierung vorgeschriebene Nummer darf in den Niederlanden nur zur Ausführung dieses Gesetzes oder für gesetzlich genannte Zwecke verwendet werden. Nichtstaatliche Organisationen dürfen die BSN also nur verwenden, wenn ein Gesetz dies bestimmt.
Nein, sie werden aber vergleichbar streng behandelt. Daten zu Verurteilungen und Straftaten sowie laut Aufsichtsbehörde auch begründete Verdachtsmomente dürfen nur unter behördlicher Aufsicht oder mit gesetzlicher Erlaubnis verarbeitet werden. In den Niederlanden regelt das DSGVO-Ausführungsgesetz die zulässigen Fälle. Zusätzlich brauchen Sie eine gewöhnliche Rechtsgrundlage.
Nicht automatisch. Ein Foto ist personenbezogen, wenn jemand darauf erkennbar ist. Zu einer besonderen Datenkategorie wird es erst bei technischer Verarbeitung zur eindeutigen Identifizierung oder Bestätigung einer Identität, etwa bei Gesichtserkennung. Dann sind es biometrische Daten. Ein Passfoto in einer Personalakte fällt nicht darunter.
Nur soweit gesetzlich erlaubt. Das niederländische DSGVO-Ausführungsgesetz nennt Regelungen mit gesundheitsabhängigen Ansprüchen sowie Wiedereingliederung oder Begleitung bei Krankheit oder Arbeitsunfähigkeit. Die Verarbeitung muss dafür erforderlich sein und durch verschwiegenheitsverpflichtete Personen erfolgen. Was genau festgehalten werden darf, verlangt eine Einzelfallbeurteilung.
In der Regel nicht. Sie brauchen eine Rechtsgrundlage und eine gesetzliche Ausnahme, die auch die Übermittlung an den Chatbot-Anbieter deckt; für „kurz zusammenfassen“ besteht sie selten. Bei einem kostenlosen oder persönlichen Konto fehlt außerdem der Auftragsverarbeitungsvertrag. Lassen Sie einen Juristen oder Ihren Datenschutzbeauftragten beurteilen, ob in Ihrem Fall eine Ausnahme besteht.
Der Zeitplan des AI Act nach dem digitalen Omnibus: Was bereits gilt, was auf 2027 und 2028 verschoben wurde und was Sie als KI-Nutzer jetzt regeln.
Was ein Deepfake ist, welche Regeln jetzt gelten, welches Verbot bevorsteht und was Organisationen gegen Betrug mit gefälschter Stimme oder Video tun.
Was das niederländische Algoritmeregister und das IAMA sind, was Pflicht ist und was nicht und was eine Gemeinde beim Einsatz von KI-Chatbots regelt.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →