DSGVO Art. 9 in Wohnheimen: Umgang mit besonders sensiblen Personendaten

Warum Art. 9 DSGVO für Wohnheime relevant ist

Artikel 9 der Datenschutz-Grundverordnung (DSGVO) verbietet grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten. Dazu gehören unter anderem:

• Gesundheitsdaten: Chronische Erkrankungen, Pflegebedarf, Behinderungen, psychische Erkrankungen
• Daten zur sexuellen Orientierung: Relevant für LSBTIQ+-Module und Schutzkonzepte
• Religiöse oder weltanschauliche Überzeugungen: Relevant für Verpflegung, Raumzuweisung, Betreuung
• Ethnische Herkunft: Oft implizit in Bewohnerdaten enthalten
• Biometrische Daten: Falls Zugangssysteme mit Fingerabdruck oder Gesichtserkennung genutzt werden

Betreiber von Gemeinschaftsunterkünften verarbeiten nahezu alle diese Datenkategorien im Rahmen ihrer täglichen Arbeit. Die korrekte Handhabung ist keine optionale Datenschutzmaßnahme, sondern eine rechtliche Pflicht, deren Verletzung empfindliche Bußgelder nach sich ziehen kann.

Rechtsgrundlagen für die Verarbeitung

Das generelle Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO wird durch mehrere Ausnahmetatbestände in Art. 9 Abs. 2 durchbrochen. Für Wohnheimbetreiber sind vor allem drei relevant:

Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a)

Die Einwilligung des Bewohners ist die häufigste Rechtsgrundlage. Sie muss:

• Freiwillig erfolgen (keine Kopplung an Unterkunftsgewährung)
• Informiert sein (Bewohner muss verstehen, welche Daten wofür verarbeitet werden)
• Ausdrücklich auf die besonderen Datenkategorien Bezug nehmen
• Jederzeit widerrufbar sein
• In der Sprache des Bewohners vorliegen (mehrsprachige Einwilligungsformulare)

Erhebliches öffentliches Interesse (Art. 9 Abs. 2 lit. g)

In bestimmten Fällen kann die Verarbeitung auf ein erhebliches öffentliches Interesse gestützt werden — etwa wenn Gesundheitsdaten für die Zuweisung in barrierefreie Einrichtungen oder Schutzkonzepte für vulnerable Gruppen erforderlich sind. Dies erfordert eine spezifische gesetzliche Grundlage.

Schutz lebenswichtiger Interessen (Art. 9 Abs. 2 lit. c)

In Notfällen — etwa bei akuter Gesundheitsgefahr — kann die Verarbeitung von Gesundheitsdaten ohne Einwilligung auf den Schutz lebenswichtiger Interessen gestützt werden.

Das Prinzip: Bedarf statt Diagnose

Ein zentraler Grundsatz der Datenminimierung im Wohnheimkontext ist das Prinzip „Bedarf statt Diagnose":

• Nicht erforderlich: „Bewohner X hat Diabetes Typ 2"
• Erforderlich: „Bewohner X benötigt Kühlschrank für Medikamente" oder „Bewohner X benötigt barrierefreies Zimmer"

Die Software sollte so konzipiert sein, dass sie Bedarfe erfasst, nicht Diagnosen. Dies reduziert das Datenvolumen besonderer Kategorien erheblich und minimiert das Risiko von Datenschutzverstößen. Detaillierte medizinische Informationen gehören in die ärztliche Dokumentation, nicht in die Unterkunftsverwaltung.

Audit Trail: Lückenlose Nachverfolgung

Für die Verarbeitung besonderer Datenkategorien verlangt die DSGVO eine lückenlose Nachverfolgbarkeit aller Zugriffe und Änderungen:

• Wer hat wann auf welche Daten zugegriffen?
• Welche Änderungen wurden vorgenommen?
• Auf welcher Rechtsgrundlage erfolgte der Zugriff?

Ein technischer Audit Trail — also die automatische Protokollierung aller Datenzugriffe und -änderungen — ist bei der Verarbeitung von Art.-9-Daten nicht optional, sondern eine Mindestanforderung. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) prüft dies bei Beschwerden und Kontrollen.

Rollenbasierte Zugriffskontrolle

Nicht jeder Mitarbeiter muss Zugang zu allen sensiblen Daten haben. Eine rollenbasierte Zugriffskontrolle stellt sicher, dass:

• Verwaltungspersonal nur die für die Abrechnung nötigen Daten sieht
• Sozialarbeiter Zugang zu Betreuungsdaten haben, aber nicht zu Abrechnungsdetails
• Leitungskräfte aggregierte Berichte sehen, ohne individuelle Gesundheitsdaten
• Externe (Reinigung, Sicherheit) keinen Zugang zu personenbezogenen Daten haben

Die Rolle der BlnBDI

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) ist die zuständige Aufsichtsbehörde für Berliner Wohnheimbetreiber. Sie:

• Prüft bei Beschwerden von Bewohnern die Datenschutzpraxis des Betreibers
• Führt anlasslose Kontrollen durch, insbesondere bei Verarbeitung besonderer Datenkategorien
• Berät Betreiber bei der Umsetzung datenschutzrechtlicher Anforderungen
• Kann bei Verstößen Bußgelder verhängen

Es empfiehlt sich, das eigene Verarbeitungsverzeichnis (Art. 30 DSGVO) proaktiv auf dem neuesten Stand zu halten und die Dokumentation der technischen und organisatorischen Maßnahmen (TOMs) regelmäßig zu überprüfen.