Kurz gesagt: Sobald ein Formularfeld auf deiner Website Angaben zu Gesundheit, Religion, ethnischer Herkunft, Gewerkschaftszugehörigkeit oder sexueller Orientierung erfasst, greift Art. 9 DSGVO — egal ob du aktiv danach fragst oder jemand es freiwillig in ein Freitextfeld schreibt. Das betrifft nicht nur Arztpraxen: Ein Anmerkungsfeld beim Kosmetik-Termin, eine Gesundheitsfrage im Yoga-Anmeldeformular oder ein Kontaktformular mit Bezug zu einer Kirchengemeinde reichen aus. Im Detail:
Was Art. 9 DSGVO verbietet — und was nicht automatisch dazugehört
Art. 9 Abs. 1 DSGVO verbietet grundsätzlich die Verarbeitung von Daten, aus denen rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. Das ist ein Verbot mit Erlaubnisvorbehalt: Ohne eine der in Absatz 2 genannten Ausnahmen ist die Verarbeitung schlicht untersagt — unabhängig davon, wie klein dein Unternehmen ist.
Name, E-Mail-Adresse oder Telefonnummer fallen nicht darunter. Die stützt du ganz normal auf Art. 6 DSGVO (Vertrag, berechtigtes Interesse, Einwilligung). Art. 9 wird erst relevant, wenn aus den Angaben selbst etwas über Gesundheit, Religion oder eine der anderen genannten Kategorien hervorgeht — nach Art. 4 Nr. 15 DSGVO zählen dazu bereits Angaben, „aus denen Informationen über den Gesundheitszustand hervorgehen", nicht erst eine ärztliche Diagnose.
Wo das auf einem gewöhnlichen Formular entsteht
- Terminbuchung mit Freitextfeld („Anmerkungen", „Grund des Termins") bei Kosmetikstudio, Physiotherapie, Massage oder Frisör — Kundinnen schreiben von sich aus „bin schwanger", „habe eine Hautallergie" oder „nehme Blutverdünner".
- Anmeldeformular für Kurse oder Retreats mit direkter Gesundheitsfrage („Vorerkrankungen?", „Medikamente?", „körperliche Einschränkungen?").
- Kontaktformular mit offenem Nachrichtenfeld, in dem jemand ungefragt Gesundheits-, Religions- oder Familienangaben macht.
- Formulare von Vereinen, Kirchengemeinden oder Gewerkschaften, wenn die Mitgliedschaft selbst schon die religiöse oder gewerkschaftliche Zugehörigkeit offenbart.
- Bewerbungsformulare mit Frage zur Schwerbehinderung folgen einer eigenen Logik (Sozialrecht, SGB IX) und gehören nicht in dieses Formular-Checklist — dafür ein andermal ein eigener Artikel.
Gemeinsamer Nenner: Du musst das Feld nicht aktiv nach Gesundheit fragen, damit Art. 9 greift. Es reicht, dass ein Freitextfeld existiert und jemand es nutzt, um so etwas mitzuteilen.
Wann eine Ausnahme greift
Art. 9 Abs. 2 DSGVO nennt zehn Ausnahmen (Buchst. a bis j). Für die meisten Websites außerhalb des Gesundheitsbereichs ist praktisch nur eine davon realistisch:
- Ausdrückliche Einwilligung (Buchst. a) — die betroffene Person hat für einen oder mehrere festgelegte Zwecke ausdrücklich zugestimmt.
- Arbeitsrecht und soziale Sicherheit (Buchst. b), Vereinszweck ohne Gewinnerzielungsabsicht mit Bezug nur auf Mitglieder (Buchst. d) oder offensichtlich selbst öffentlich gemachte Daten (Buchst. e) — jeweils nur in engen, spezifischen Konstellationen.
- Gesundheitsvorsorge und Behandlung (Buchst. h) — diese Ausnahme ist an Art. 9 Abs. 3 gekoppelt: Sie gilt nur, wenn die Daten von Fachpersonal verarbeitet werden, das einer Geheimhaltungspflicht unterliegt. § 22 Abs. 1 Nr. 1 lit. b BDSG konkretisiert das für Angehörige eines Gesundheitsberufs.
Das heißt: Eine Arztpraxis oder Physiotherapiepraxis hat mit Buchst. h + § 22 BDSG eine eigene, spezifische Rechtsgrundlage für Gesundheitsdaten ihrer Patienten. Ein Kosmetikstudio, ein Yoga-Anbieter oder ein Frisör ist kein Angehöriger eines Gesundheitsberufs im Sinne dieser Norm — für sie bleibt in der Regel nur Buchst. a: die ausdrückliche Einwilligung.
Was „ausdrückliche Einwilligung" konkret bedeutet
Art. 4 Nr. 11 DSGVO definiert Einwilligung allgemein als freiwillige, informierte und unmissverständliche Willensbekundung durch eine eindeutige bestätigende Handlung. Art. 9 Abs. 2 Buchst. a verlangt zusätzlich, dass sie ausdrücklich ist und sich auf einen oder mehrere festgelegte Zwecke bezieht. Praktisch bedeutet das:
- Eine einzige Checkbox „Ich akzeptiere die Datenschutzerklärung", die alles auf einmal abdeckt, reicht dafür nicht.
- Für das sensible Feld braucht es eine eigene, standardmäßig nicht angehakte Checkbox, die konkret benennt, welche Angabe wofür verarbeitet wird.
- Ohne diese gesonderte Einwilligung darfst du ein freiwillig ausgefülltes Freitextfeld mit Gesundheitsangaben zwar meist trotzdem zur Terminabwicklung nutzen (dafür reicht regelmäßig die Vertragserfüllung), solltest die Angabe aber nicht darüber hinaus auswerten oder für andere Zwecke speichern.
| Formular-Typ | Enthält oft Art.-9-Daten? | Was zu tun ist |
|---|---|---|
| Kontaktformular nur mit Name/E-Mail/Telefon | Nein | Normale Rechtsgrundlage nach Art. 6 DSGVO reicht |
| Kontaktformular mit offenem Freitextfeld | Möglich, wenn Kunden es selbst preisgeben | Feld nicht aktiv nach Gesundheit/Religion fragen; Auswertung nur mit gesonderter Einwilligung |
| Terminbuchung mit direkter Gesundheitsfrage | Ja | Gesonderte, ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a einholen |
| Vereins-/Kirchengemeinde-Formular mit Religionsbezug | Ja, wenn personenbezogen | Ausdrückliche Einwilligung oder enge Ausnahme Buchst. d prüfen |
| Formular einer Arztpraxis oder Physiotherapie | Ja | Eigene Rechtsgrundlage: Art. 9 Abs. 2 Buchst. h + § 22 BDSG (Gesundheitsberuf) |
Was in der Datenschutzerklärung stehen muss
Art. 9 DSGVO selbst regelt nur, ob die Verarbeitung erlaubt ist — keine Informationspflicht. Die Pflicht, die Rechtsgrundlage offenzulegen, folgt aus Art. 13 Abs. 1 Buchst. c DSGVO: Der Verantwortliche muss der betroffenen Person bei der Datenerhebung „die Rechtsgrundlage für die Verarbeitung" mitteilen. Für ein Formular mit sensiblem Freitextfeld heißt das konkret: Deine Datenschutzerklärung braucht einen Abschnitt, der benennt, dass hier ggf. besondere Kategorien verarbeitet werden und auf welcher Grundlage (i. d. R. Art. 9 Abs. 2 Buchst. a, bei Gesundheitsberufen Buchst. h in Verbindung mit § 22 BDSG).
Was ein automatischer Scan davon findet — und was nicht
Ein Website-Scanner kann erkennen, ob ein Formular ein offenes Freitextfeld hat und ob deine Datenschutzerklärung einen Abschnitt zu besonderen Kategorien personenbezogener Daten überhaupt enthält. Ob konkret jemand in dieses Feld eine Gesundheitsangabe schreibt, sieht kein Scan von außen — das hängt vom tatsächlichen Nutzerverhalten ab, nicht vom HTML.
Was ein Scan trotzdem leistet: prüfen, ob deine Datenschutzerklärung grundsätzlich vorhanden und vollständig ist — die Basis, auf der ein Hinweis zu Art. 9 DSGVO aufbauen würde. Prüfe in 2 Minuten, ob deine Website die Grundlagen erfüllt — kostenlos.
Den vollständigen Gesetzestext zu Art. 9 DSGVO findest du bei uns: Art. 9 DSGVO im Volltext.
Häufige Fragen
Betrifft Art. 9 DSGVO auch mein normales Kontaktformular?
Nur, wenn darüber Angaben zu Gesundheit, Religion, ethnischer Herkunft, Gewerkschaftszugehörigkeit oder ähnlichen besonderen Kategorien erhoben werden — auch dann, wenn das über ein offenes Freitextfeld passiert und du gar nicht danach gefragt hast. Ein Formular mit nur Name, E-Mail und Telefonnummer bleibt normales Art.-6-Terrain.
Reicht die normale Datenschutz-Checkbox als Einwilligung für Gesundheitsangaben?
Nein. Art. 9 Abs. 2 Buchst. a verlangt eine ausdrückliche Einwilligung für einen festgelegten Zweck. Eine allgemeine Checkbox „Ich akzeptiere die Datenschutzerklärung", die alles bündelt, erfüllt das nicht — dafür braucht es eine eigene, konkret formulierte und standardmäßig nicht angehakte Einwilligung.
Muss ich das Freitextfeld aus meinem Formular entfernen?
Nicht zwingend. Du musst es nur nicht aktiv zu Gesundheits- oder Religionsangaben auffordern und solltest freiwillig mitgeteilte sensible Angaben nicht über den ursprünglichen Zweck hinaus auswerten oder speichern, ohne dafür eine eigene Rechtsgrundlage zu haben.
Gilt für Ärzte und Physiotherapeuten eine andere Regel?
Ja. Angehörige eines Gesundheitsberufs haben mit Art. 9 Abs. 2 Buchst. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 Buchst. b BDSG eine eigene Rechtsgrundlage für Gesundheitsdaten ihrer Patienten, die an eine Geheimhaltungspflicht des Fachpersonals gekoppelt ist (Art. 9 Abs. 3 DSGVO). Ein Kosmetikstudio oder Fitnessanbieter fällt nicht darunter.
Was, wenn ein Kunde von sich aus Gesundheitsdaten ins Formular schreibt, ohne dass ich danach gefragt habe?
Die Verarbeitung zur eigentlichen Terminabwicklung ist dann meist über die Vertragserfüllung nach Art. 6 Abs. 1 Buchst. b DSGVO gedeckt. Für jede darüberhinausgehende Nutzung oder Speicherung dieser Angabe brauchst du zusätzlich eine eigene Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO, in der Regel eine ausdrückliche Einwilligung.
