DSGVO Art. 9 in Wohnheimen: Umgang mit sensiblen Personendaten

Artikel 9 DSGVO regelt den Umgang mit besonderen Kategorien personenbezogener Daten. Dazu zählen Gesundheitsdaten, religiöse oder weltanschauliche Überzeugungen, ethnische Herkunft, politische Meinungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten sowie Angaben zum Sexualleben und zur sexuellen Orientierung. Ihre Verarbeitung ist grundsätzlich verboten und nur zulässig, wenn einer der Ausnahmetatbestände des Absatzes 2 greift — etwa eine ausdrückliche Einwilligung, lebenswichtige Interessen oder eine gesetzliche Grundlage.

Warum Art. 9 DSGVO für Wohnheime relevant ist

Artikel 9 der Datenschutz-Grundverordnung (DSGVO) verbietet grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten. Dazu gehören unter anderem:

• Gesundheitsdaten: Chronische Erkrankungen, Pflegebedarf, Behinderungen, psychische Erkrankungen
• Daten zur sexuellen Orientierung: Relevant für LSBTIQ+-Module und Schutzkonzepte
• Religiöse oder weltanschauliche Überzeugungen: Relevant für Verpflegung, Raumzuweisung, Betreuung
• Ethnische Herkunft: Oft implizit in Bewohnerdaten enthalten
• Biometrische Daten: Falls Zugangssysteme mit Fingerabdruck oder Gesichtserkennung genutzt werden

Betreiber von Gemeinschaftsunterkünften verarbeiten nahezu alle diese Datenkategorien im Rahmen ihrer täglichen Arbeit. Die korrekte Handhabung ist keine optionale Datenschutzmaßnahme, sondern eine rechtliche Pflicht, deren Verletzung empfindliche Bußgelder nach sich ziehen kann.

Rechtsgrundlagen für die Verarbeitung

Das generelle Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO wird durch mehrere Ausnahmetatbestände in Art. 9 Abs. 2 durchbrochen. Für Wohnheimbetreiber sind vor allem drei relevant:

Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a)

Die Einwilligung des Bewohners ist die häufigste Rechtsgrundlage. Sie muss:

• Freiwillig erfolgen (keine Kopplung an Unterkunftsgewährung)
• Informiert sein (Bewohner muss verstehen, welche Daten wofür verarbeitet werden)
• Ausdrücklich auf die besonderen Datenkategorien Bezug nehmen
• Jederzeit widerrufbar sein
• In der Sprache des Bewohners vorliegen (mehrsprachige Einwilligungsformulare)

Erhebliches öffentliches Interesse (Art. 9 Abs. 2 lit. g)

In bestimmten Fällen kann die Verarbeitung auf ein erhebliches öffentliches Interesse gestützt werden — etwa wenn Gesundheitsdaten für die Zuweisung in barrierefreie Einrichtungen oder Schutzkonzepte für vulnerable Gruppen erforderlich sind. Dies erfordert eine spezifische gesetzliche Grundlage.

Schutz lebenswichtiger Interessen (Art. 9 Abs. 2 lit. c)

In Notfällen — etwa bei akuter Gesundheitsgefahr — kann die Verarbeitung von Gesundheitsdaten ohne Einwilligung auf den Schutz lebenswichtiger Interessen gestützt werden.

Das Prinzip: Bedarf statt Diagnose

Ein zentraler Grundsatz der Datenminimierung im Wohnheimkontext ist das Prinzip „Bedarf statt Diagnose":

• Nicht erforderlich: „Bewohner X hat Diabetes Typ 2"
• Erforderlich: „Bewohner X benötigt Kühlschrank für Medikamente" oder „Bewohner X benötigt barrierefreies Zimmer"

Die Software sollte so konzipiert sein, dass sie Bedarfe erfasst, nicht Diagnosen. Dies reduziert das Datenvolumen besonderer Kategorien erheblich und minimiert das Risiko von Datenschutzverstößen. Detaillierte medizinische Informationen gehören in die ärztliche Dokumentation, nicht in die Unterkunftsverwaltung.

Audit Trail: Lückenlose Nachverfolgung

Für die Verarbeitung besonderer Datenkategorien verlangt die DSGVO eine lückenlose Nachverfolgbarkeit aller Zugriffe und Änderungen:

• Wer hat wann auf welche Daten zugegriffen?
• Welche Änderungen wurden vorgenommen?
• Auf welcher Rechtsgrundlage erfolgte der Zugriff?

Ein technischer Audit Trail — also die automatische Protokollierung aller Datenzugriffe und -änderungen — ist bei der Verarbeitung von Art.-9-Daten nicht optional, sondern eine Mindestanforderung. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) prüft dies bei Beschwerden und Kontrollen.

Rollenbasierte Zugriffskontrolle

Nicht jeder Mitarbeiter muss Zugang zu allen sensiblen Daten haben. Eine rollenbasierte Zugriffskontrolle stellt sicher, dass:

• Verwaltungspersonal nur die für die Abrechnung nötigen Daten sieht
• Sozialarbeiter Zugang zu Betreuungsdaten haben, aber nicht zu Abrechnungsdetails
• Leitungskräfte aggregierte Berichte sehen, ohne individuelle Gesundheitsdaten
• Externe (Reinigung, Sicherheit) keinen Zugang zu personenbezogenen Daten haben

Löschfristen: der Punkt, an dem die meisten Konzepte auslaufen

Art. 5 Abs. 1 lit. e DSGVO verlangt, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck erforderlich ist. Für Art.-9-Daten ist dieser Grundsatz keine Formalie: Je sensibler die Kategorie, desto schwerer wiegt jede überflüssige Speicherung. In der Praxis kollidiert er mit handels- und steuerrechtlichen Aufbewahrungspflichten — und genau an dieser Kollision scheitern die meisten Löschkonzepte.

Die Auflösung liegt in der Trennung nach Datenart, nicht nach Person:

• Abrechnungsrelevante Daten — Belegungstage, Rechtskreis, Kostenträger — unterliegen den handels- und steuerrechtlichen Fristen und bleiben entsprechend erhalten. Sie enthalten in der Regel keine Art.-9-Kategorien.
• Bedarfs- und Betreuungsdaten — barrierefreies Zimmer, Schutzbedarf, Betreuungsvermerke — sind an den Betreuungszweck gebunden. Mit dem Auszug entfällt der Zweck; eine Weiterspeicherung braucht eine eigene Begründung.
• Führungszeugnis-Vermerke beim Personal sind der seltene Fall einer gesetzlich taggenau vorgegebenen Frist: Nach § 44 Abs. 3 AsylbLG dürfen nur die Tatsache der Einsichtnahme, das Datum des Zeugnisses und das Vorliegen einer einschlägigen Verurteilung gespeichert werden — zu löschen spätestens sechs Monate nach der letzten Ausübung der Tätigkeit.

Für die Verwaltung folgt daraus eine konkrete Anforderung: Das System muss Löschfristen pro Datenkategorie führen und den Ablauf aktiv melden können. Ein Löschkonzept, das auf manuelle Durchsicht angewiesen ist, wird im laufenden Betrieb nicht eingehalten — und ist damit im Prüfungsfall keines.

Technische Maßnahmen: was über die Zugriffskontrolle hinaus verlangt ist

Art. 32 DSGVO fordert Maßnahmen, die dem Risiko angemessen sind. Bei besonderen Kategorien ist das Risiko per Definition erhöht, entsprechend steigt die Messlatte:

• Verschlüsselung der Art.-9-Felder auf Feldebene, nicht nur der Festplatte. Eine Datenträgerverschlüsselung schützt gegen den Diebstahl des Servers, nicht gegen einen kompromittierten Datenbankzugang.
• Hosting in der EU mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Protokollierung lesender Zugriffe, nicht nur schreibender. Bei Art.-9-Daten ist die Frage „Wer hat das gesehen?" prüfungsrelevanter als „Wer hat das geändert?".
• Trennung von Test- und Produktivdaten. Echte Bewohnerdaten in einer Testumgebung sind ein eigenständiger Verstoß — unabhängig davon, ob etwas passiert ist.

Wer KI-Funktionen auf diesen Daten einsetzt, unterliegt zusätzlich der KI-Verordnung; die Abgrenzung beschreibt der Beitrag EU AI Act ab 02.08.2026.

Die Rolle der BlnBDI

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) ist die zuständige Aufsichtsbehörde für Berliner Wohnheimbetreiber. Sie:

• Prüft bei Beschwerden von Bewohnern die Datenschutzpraxis des Betreibers
• Führt anlasslose Kontrollen durch, insbesondere bei Verarbeitung besonderer Datenkategorien
• Berät Betreiber bei der Umsetzung datenschutzrechtlicher Anforderungen
• Kann bei Verstößen Bußgelder verhängen

Es empfiehlt sich, das eigene Verarbeitungsverzeichnis (Art. 30 DSGVO) proaktiv auf dem neuesten Stand zu halten und die Dokumentation der technischen und organisatorischen Maßnahmen (TOMs) regelmäßig zu überprüfen.