Für die in Art. 9 Abs. 1 DSGVO abschliessend aufgelisteten, besonderen Kategorien personenbezogener Daten gilt grundsätzlich ein generelles Verarbeitungsverbot. Unter gewissen Bedingungen dürfen sie jedoch trotzdem verarbeitet werden. Dazu muss nicht nur ein Rechtfertigungsgrund aus Art. 6 Abs. 1 DSGVO vorliegen, sondern zusätzlich auch einer der Ausnahmetatbestände gemäss Art. 9 Abs. 2 DSGVO erfüllt sein¹. Dabei fällt auf, dass Art. 9 Abs. 2 DSGVO weder eine Verarbeitung zur Vertragserfüllung noch aufgrund berechtigter Interessen zulässt.

1Das Verhältnis von Art. 6 und Art. 9 DSGVO ist in Lehre und Praxis bisher nicht restlos geklärt. Die DSS vertritt jedoch die Auffassung, dass für eine zulässige Verarbeitung besonderer Kategorien personenbezogener Daten sowohl ein Erlaubnistatbestand aus Art. 6 Abs. 1 DSGVO als auch ein Ausnahmetatbestand aus Art. 9 Abs. 2 DSGVO vorliegen müssen.

In Art. 9 Abs. 1 DSGVO sind alle Datenkategorien abschliessend aufgeführt, die der Gesetzgeber als besonders schutzwürdig erachtete.¹ Einzelne Daten können dabei gleichzeitig auch mehreren besonderen Kategorien angehören (z.B. können genetische Daten auch Gesundheitsdaten sein). Immer wieder stellen sich jedoch Fragen der Abgrenzung zu «gewöhnlichen» personenbezogenen Daten. Es ist daher auch der Kontext, die Art und der Zweck einer Verarbeitung oder der Zusammenhang mit anderen personenbezogenen Daten ausschlaggebend, ob es sich bei den verarbeiteten Daten um besondere Kategorien gemäss Art. 9 Abs. 1 DSGVO handelt oder nicht (z.B. Verarbeitung von Fotos nur zu Illustrationszwecken oder aber zur eindeutigen Identifizierung einer natürlichen Person mittels spezieller technischer Hilfsmittel und Biometrie). Grundsätzlich ist es jedoch ausreichend, dass die in Art. 9 Abs. 1 DSGVO aufgeführten, sensiblen Informationen zumindest mittelbar aus den verarbeiteten Daten hervorgehen.

Im Einzelnen handelt es sich bei den besonders schutzwürdigen Datenkategorien gemäss Art. 9 Abs. 1 DSGVO um:

• die rassische und ethnische Herkunft;
• politische Meinungen;
• religiöse oder weltanschauliche Überzeugungen;
• Gewerkschaftszugehörigkeit;
• genetische Daten;
• biometrische Daten zu Identifikationszwecken;
• Gesundheitsdaten²;
• Daten zum Sexualleben oder der sexuellen Orientierung.

Nur zu den genetischen, biometrischen und Gesundheitsdaten gibt es Legaldefinitionen in Art. 4 Ziff. 13, 14 und 15 der DSGVO selbst. Dieselben Datenkategorien sind auch von der Öffnungsklausel in Art. 9 Abs. 4 DSGVO erfasst. So ist es den Mitgliedstaaten explizit erlaubt, per nationalem Gesetz für die Verarbeitung genetischer, biometrischer oder Gesundheitsdaten zusätzliche (strengere) Bedingungen oder Beschränkungen vorzusehen (z.B. Gentechnikgesetz). Ein Senken des Schutzniveaus ist jedoch nicht gestattet.

1Der Gesetzgeber orientierte sich bei dieser Aufzählung auch an anderen Grundrechtskatalogen und Diskriminierungsverboten, wie z.B. Art. 6 der Datenschutzkonvention Nr. 108 des Europarates, Art. 14 der Europäischen Menschenrechtskonvention (EMRK), Art. 8 der ehemaligen Datenschutz-Richtlinie 95/46/EG der Europäischen Union oder Art. 21 der Charta der Grundrechte der Europäischen Union.

2Der Begriff der Gesundheitsdaten ist weit auszulegen.

In Art. 9 Abs. 2 DSGVO finden sich zehn Erlaubnistatbestände, bei deren Vorliegen die in Abs. 1 definierten, besonderen Kategorien personenbezogener Daten trotzdem ausnahmsweise verarbeitet werden dürfen¹. Die Tatbestände lassen sich grob in zwei Gruppen unterteilen: Die in Bst. c, d, e und f aufgezählten Zulässigkeitsvoraussetzungen sind jeweils abschliessend normiert; wohingegen die in Bst. a, b, g, h, i und j aufgezählten Ausnahmen vom (Nicht-²)Vorhandensein einer konkretisierenden Rechtsgrundlage in Union oder den Mitgliedstaaten abhängig gemacht werden. Sämtliche Ausnahmetatbestände sind dabei restriktiv auszulegen.

1.     Ausdrückliche Einwilligung (Bst. a)

Im Vergleich zum Rechtfertigungsgrund der Einwilligung aus Art. 6 Abs. 1 Bst. a DSGVO gelten für die Einwilligung nach Art. 9 Abs. 2 Bst. a DSGVO strengere Anforderungen. So muss sie etwa ausdrücklich und mit Bezug auf die Verarbeitung besonderer Kategorien personenbezogener Daten erfolgen. Eine bloss konkludente Einwilligung ist somit ausgeschlossen. Union und Mitgliedstaaten dürfen ausserdem mittels geeigneter Rechtsgrundlage bestimmte Verarbeitungen personenbezogener Daten gemäss Art. 9 Abs. 1 DSGVO generell verbieten und dadurch die Anwendung von Art. 9 Abs. 2 Bst. a DSGVO bzw. einer Einwilligung als Rechtfertigungsgrund gänzlich verunmöglichen. Ebenso sind entsprechende Regelungen mit zusätzlichen Anforderungen an eine Einwilligung für bestimmte Verarbeitungen möglich (z.B. weitere Formerfordernisse, Bedingungen etc.).

2.     Arbeitsrecht, soziale Sicherheit, Sozialschutz (Bst. b)

Der Ausnahmetatbestand aus Art. 9 Abs. 2 Bst. b DSGVO besteht nicht unabhängig, sondern muss sich aus einer entsprechenden separaten Rechtsgrundlage der Union oder Mitgliedstaaten im Bereich des Arbeitsrechts, der sozialen Sicherheit oder des Sozialschutzes ergeben (einschliesslich Kollektiv- und Betriebsvereinbarungen). Eine Verarbeitung besonderer Kategorien personenbezogener Daten muss zur Erfüllung solcher Normen erforderlich sein, damit sie zulässig ist.

3.     Schutz lebenswichtiger Interessen (Bst. c)

Für das Vorliegen dieser Ausnahme muss eine Verarbeitung besonderer Kategorien personenbezogener Daten erforderlich sein, um lebenswichtige Interessen der betroffenen oder einer anderen Person zu schützen oder Gefahren für Leib und Leben abzuwehren³. Voraussetzung ist jedoch, dass die betroffene Person körperlich oder rechtlich nicht imstande ist, in die Verarbeitung ausdrücklich einzuwilligen, aber von ihrer mutmasslichen Einwilligung ausgegangen werden kann (z.B. in einer Notfallsituation, bei Bewusstlosigkeit, bei Unerreichbarkeit des rechtlichen Vertreters etc.). Eine Verarbeitung besonderer Kategorien personenbezogener Daten sollte grundsätzlich nur dann mit dem Schutz lebenswichtiger Interessen begründet werden, wenn sie offensichtlich nicht auf einen anderen Ausnahmetatbestand aus Art. 9 Abs. 2 DSGVO gestützt werden kann (ErwGr. 46).

4.     Politisch, weltanschaulich, religiös und gewerkschaftlich ausgerichtete Organisationen (Bst. d)

Art. 9 Abs. 2 Bst. d DSGVO erlaubt die Verarbeitung besonderer Kategorien personenbezogener Daten durch politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete, nicht gewinnorientierte Organisationen (z.B. Kirchen, Parteien, Gewerkschaften etc.), soweit die Verarbeitung im Rahmen ihrer rechtmässigen Tätigkeit erforderlich ist (Organisationszweck) sowie intern⁴ erfolgt und die Organisationen geeignete Garantien dafür vorsehen. Ausserdem dürfen die unter dieser Ausnahme verarbeiteten Daten nur Personen betreffen, die (ehemalige) Mitglieder der Organisation sind oder (in Zusammenhang mit deren Tätigkeitszweck) regelmässigen Kontakt zu ihr unterhalten (z.B. regelmässige Spender oder Veranstaltungsteilnehmer etc.).

5.     Selbst veröffentlichte Daten (Bst. e)

Der Ausnahmetatbestand aus Art. 9 Abs. 2 Bst. e DSGVO erklärt die Verarbeitung besonderer Kategorien personenbezogener Daten dann für zulässig, wenn die betroffene Person sie offensichtlich und willentlich, selbst (oder durch eine von ihr beauftragte Person) veröffentlicht hat. Unter Öffentlichkeit ist hierbei ein unbestimmter Kreis von Personen zu verstehen, denen die Daten zugänglich gemacht werden (z.B. frei im Internet oder über allgemeine Medien). Die einfache Teilnahme an einer öffentlichen Veranstaltung genügt den Anforderungen von Art. 9 Abs. 2 Bst. e DSGVO jedoch nicht, ebenso wenig wie der alleinige Umstand, dass die Informationen über eine Suchmaschine im Internet aufgefunden werden können.

6.     Rechtsansprüche und Gerichtshandlungen (Bst. f)

Die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen⁵ erforderliche Verarbeitung besonderer Kategorien personenbezogener Daten ist gemäss Art. 9 Abs. 2 Bst. f DSGVO ebenfalls erlaubt. Dabei ist es unerheblich, ob es sich um ein gerichtliches, aussergerichtliches oder um ein Verwaltungsverfahren handelt (ErwGr. 52). Ebenso ist die Verarbeitung für Erfordernisse in Zusammenhang mit Handlungen von Gerichten im Rahmen ihrer justiziellen Tätigkeit zulässig. Der Ausnahmetatbestand aus Art. 9 Abs. 2 Bst. f DSGVO stellt somit eine Erweiterung des entsprechenden Rechtfertigungsgrunds aus Art. 6 Abs. 1 Bst. f DSGVO (berechtigtes Interesse) für sensible Daten dar.

7.     Erhebliches öffentliches Interesse (Bst. g)

Der Ausnahmetatbestand aus Art. 9 Abs. 2 Bst. g DSGVO ist (im Gegensatz zu den spezifischen öffentlichen Interessen in Bst. h, i und j) relativ offen formuliert und verweist, ähnlich wie Art. 6 Abs. 1 Bst. e und Art. 6 Abs. 3 DSGVO, einfach auf ein erhebliches öffentliches Interesse, welches die Verarbeitung besonderer Kategorien personenbezogener Daten erforderlich macht (z.B. Gefahrenabwehr, Durchsetzung Rechtsstaatlichkeit, humanitäre Zwecke etc.). Ein solch wichtiges öffentliches Interesse der Allgemeinheit muss jedoch in einer Rechtsnorm auf Unions- oder Mitgliedstaatsebene kodiert sein, welche im Sinne einer Interessenabwägung gewisse Voraussetzungen erfüllen muss. So hat die Regelung in einem angemessenen Verhältnis zum verfolgten Ziel zu stehen (Verhältnismässigkeit), den Wesensgehalt des Rechts auf Datenschutz zu wahren sowie angemessene und spezifische Massnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorzusehen (z.B. Information, Betroffenenrechte). Bei Art. 9 Abs. 2 Bst. g DSGVO handelt es sich daher um eine Öffnungsklausel, mit welcher der Gesetzgeber Ausnahmen vom generellen Verarbeitungsverbot besonderer Kategorien personenbezogener Daten vorsehen kann.

8.     Gesundheits- und Sozialbereich (Bst. h)

Der Ausnahmetatbestand aus Art. 9 Abs. 2 Bst. h DSGVO bezieht sich auf Datenverarbeitungen, welche im weitesten Sinn die Gesundheitsversorgung einer individuellen Person betreffen. So erlaubt er die ausnahmsweise Verarbeitung besonderer Kategorien personenbezogener Daten, soweit sie für Zwecke der

• Gesundheitsvorsorge,
• Arbeitsmedizin,
• Beurteilung der Arbeitsfähigkeit eines Beschäftigten,
• medizinischen Diagnostik,
• Versorgung oder Behandlung im Gesundheits- oder Sozialbereich, sowie
• Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich⁶

erforderlich ist. Dabei ist es unerheblich, ob die Leistungen präventiven, diagnostischen, kurativen oder nachsorgenden Charakter haben. Ebenfalls von dieser Ausnahme erfasst, ist etwa das den Ärzten gesetzlich vorgeschriebene Führen von Krankenakten (Dokumentation), die Verarbeitung sensibler Daten durch Apotheken oder von Beratungsstellen und Diensten im Sozialbereich. Auch eine Verarbeitung aufgrund dieses Ausnahmetatbestands muss auf einer rechtlichen Grundlage im Unions- oder mitgliedstaatlichen Recht beruhen oder dann durch einen Vertrag mit einem Angehörigen eines Gesundheitsberufs begründet sein.

Schliesslich müssen für eine Verarbeitung besonderer Kategorien personenbezogener Daten auf Grundlage von Art. 9 Abs. 2 Bst. h DSGVO auch die Bedingungen und Garantien aus Art. 9 Abs. 3 DSGVO eingehalten werden. Diese verlangen entweder, dass die Verarbeitung von Fachpersonal oder unter dessen Aufsicht vorgenommen wird und dieses Fachpersonal einem Berufsgeheimnis (z.B. Arztgeheimnis) unterliegt, oder, falls die Verarbeitung durch andere Personen erfolgt, diese ebenfalls einer Geheimhaltungspflicht unterliegen.⁷

9.     Öffentliche Gesundheit (Bst. i)

Der Ausnahmetatbestand aus Art. 9 Abs. 2 Bst. i DSGVO zielt auf das gesamte Gesundheitswesen betreffende Themen sowie gefahrenrechtliche Aspekte ab. So dürfen besondere Kategorien personenbezogener Daten verarbeitet werden, wenn ein öffentliches Interesse im Bereich öffentliche Gesundheit vorliegt (z.B. Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren, Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten etc.), welches eine solche Verarbeitung erforderlich macht. Voraussetzung ist auch hier wieder, dass eine Rechtsgrundlage im Unions- oder mitgliedstaatlichen Recht existiert, welche angemessene und spezifische Massnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht (z.B. Epidemiengesetz, Heilmittelgesetz etc.). Ausserdem ist bei einer solchen Verarbeitung eine strenge Zweckbindung zu beachten.

10. Archiv-, Forschungs- und statistische Zwecke (Bst. j)

Gemäss Art. 9 Abs. 2 Bst. j DSGVO ist eine Verarbeitung besonderer Kategorien personenbezogener Daten für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche und historische Forschungszwecke sowie für statistische Zwecke erlaubt, sofern die Verarbeitung dazu erforderlich ist. Auch eine Verarbeitung aufgrund von Art. 9 Abs. 2 Bst. j DSGVO muss in einer Rechtsnorm auf Unions- oder Mitgliedstaatsebene vorgesehen sein, die in einem angemessenen Verhältnis zum verfolgten Ziel steht (Verhältnismässigkeit), den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Massnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht (z.B. Information, Pseudonymisierung etc.). Art. 9 Abs. 2 Bst. j DSGVO verweist zudem auf Art. 89 Abs. 1 DSGVO, welcher für Datenverarbeitungen zu den genannten Zwecken geeignete Garantien für die Rechte und Freiheiten betroffener Personen vorsieht.

1Zum Verhältnis mit Art. 6 DSGVO siehe die Ausführungen weiter oben in Kapitel «Verbot mit Erlaubnisvorbehalt (Art. 9 DSGVO)» in Fussnote 1.   2Bst. a ist abhängig davon, dass keine die Einwilligung ausschliessende, generelle Verbotsnorm existiert.   3Es muss dabei nicht unbedingt um Leben oder Tod gehen.   4Eine Offenlegung nach aussen bedarf einer ausdrücklichen Einwilligung der betroffenen Personen.   5Der Begriff der Rechtsansprüche ist weit auszulegen.   6Mit «Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich» ist auch der administrative Bereich gemeint (z.B. Patientenarchiv, Statistik, Qualitätssicherung, Abrechnung Krankenversicherungssysteme etc.). Die Durchsetzung von Zahlungsansprüchen fällt jedoch unter die Ausnahme von Art. 9 Abs. 2 Bst. f DSGVO und die medizinische Forschung unter Art. 9 Abs. 2 Bst. j DSGVO.   7Sowohl Berufsgeheimnis als auch Geheimhaltungspflicht müssen entweder im Unionsrecht, dem Recht eines Mitgliedstaates oder in Vorschriften nationaler zuständiger Stellen begründet sein.

Personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten zählen nicht zu den eigentlichen besonderen Kategorien gemäss Art. 9 DSGVO. Ihre missbräuchliche Verarbeitung kann jedoch ebenfalls gravierende, stigmatisierende Konsequenzen für die Betroffenen haben (z.B. Diskriminierungsgefahr), weswegen auch sie als besonders schutzbedürftig gelten und ihre Verarbeitung in Art. 10 DSGVO speziell geregelt wurde. Grundsätzlich dürfen solche Daten zwar aufgrund einer Rechtsgrundlage gemäss Art. 6 Abs. 1 DSGVO von privaten oder öffentlichen Stellen verarbeitet werden. Art. 10 DSGVO postuliert jedoch zusätzlich, dass dies nur unter den strengen Voraussetzungen entweder einer behördlichen Aufsicht¹ oder von sonstigen, in einer unions- oder mitgliedstaatlichen Rechtsgrundlage niedergelegten, geeigneten Garantien für die Rechte und Freiheiten der betroffenen Personen geschehen darf (z.B. §1173a Art. 28a ABGB in Liechtenstein für die Verarbeitung von Strafregisterauszügen durch private Arbeitgeber). Umfassende Register über strafrechtliche Verurteilungen dürfen gar ausschliesslich unter behördlicher Aufsicht geführt werden und nicht unter privater Verantwortung (z.B. nationales Strafregister zur Auskunftserteilung über strafrechtliche Verurteilungen).² Art. 10 DSGVO enthält somit anders als Art. 9 DSGVO kein generelles Verarbeitungsverbot, sondern erhöht einfach die Anforderungen an eine Verarbeitung für diese spezielle Datenkategorie.

Art. 10 DSGVO erfasst personenbezogene Daten über Straftaten³, strafrechtliche Verurteilungen und damit zusammenhängende Sicherungsmassregeln. Dies schliesst auch ausgesprochene Strafen und damit vergleichbare Massnahmen ein. Vom Anwendungsbereich von Art. 10 DSGVO erfasst sind personenbezogene Daten von Tätern, Anstiftern und Gehilfen, sowie allenfalls von Tatverdächtigen⁴, nicht jedoch von Zeugen, Opfern oder sonstige Beteiligten eines Strafverfahrens. Für letztere gelten «nur» die allgemeinen Regeln der DSGVO (z.B. Datenrichtigkeit, Verhältnismässigkeit etc.). Gerade dem Verhältnismässigkeitsgrundsatz ist jedoch generell bei Verarbeitungen personenbezogener Daten gemäss Art. 10 DSGVO aufgrund der grossen Diskriminierungsgefahr hohe Wichtigkeit beizumessen (z.B. in Bezug auf mögliche Empfänger, Speicherfristen, Datenminimierung etc.).

Als Abgrenzung zu beachten ist, dass Register, Datenbanken oder auch einzelne Datensätze (z.B. über Tatverdächtige), die von den zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, verarbeitet werden, nicht unter den Anwendungsbereich der DSGVO bzw. von Art. 10 DSGVO  fallen (Art. 2 Abs. 2 DSGVO). Sie sind von der Richtlinie (EU) 2016/280⁵ erfasst, welche durch Art. 45 ff. DSG ins liechtensteinische Recht übertragen wurde.

1Behördliche Aufsicht bedeutet dabei nicht eine indirekte staatliche Kontrolle via Gewerbeverbände etc., sondern verlangt nach einer inhaltlichen Verantwortung für die Verarbeitung, welche ganz oder zu wesentlichen Teilen bei einem Träger öffentlicher Gewalt liegt.   2Umfassende Register enthalten alle strafrechtlichen Verurteilungen einer grossen Zahl betroffener Person in einem Mitgliedstaat. Datenbanken, welche nur nebenbei auch Informationen über strafrechtlich relevante Taten enthalten, sind davon nicht erfasst.   3Es muss nicht zwingend eine Verurteilung für eine begangene Straftat vorliegen (z.B. wegen Schuldunfähigkeit). Ausserdem können Mitgliedstaaten mittels entsprechender Rechtsgrundlage auch Ordnungsstrafen, verwaltungs- sowie zivilrechtliche Sanktionen dem Anwendungsbereich von Art. 10 DSGVO unterstellen oder kann sich deren strafrechtlicher Charakter ausnahmsweise aus der Art der Zuwiderhandlung und dem Schweregrad der den Betroffenen drohenden Sanktionen ergeben.   4In der Lehre ist umstritten, ob personenbezogene Daten von Tatverdächtigen ebenfalls unter den Anwendungsbereich von Art. 10 DSGVO fallen. Es scheint jedoch z.B. die öffentliche Berichterstattung über ein Gerichtsverfahren einen besonderen Schutz der personenbezogenen Daten auch tatverdächtiger Personen nahezulegen, unabhängig davon, ob es letztlich im Verfahren zu einer Verurteilung aufgrund der angenommenen Straftat kommt oder nicht. Die Mitgliedstaaten können diese Frage auch gesetzlich regeln.   5Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates.

Auch in anderen Normen der DSGVO wird explizit auf die Verarbeitung besonderer Kategorien personenbezogener Daten bzw. personenbezogen Daten über strafrechtliche Verurteilungen und Straftaten verwiesen oder hat sie einen Einfluss auf die Ableitung datenschutzrechtlicher Pflichten. So werden in Art. 6 Abs. 4 Bst. c (Kompatibilitätstest), Art. 9 Abs. 2 Bst. a (ausdrückliche Einwilligung), Art. 22 Abs. 4 (automatisierte Einzelfallentscheidung), Art. 30 Abs. 5 (Verarbeitungsverzeichnis), Art. 35 Abs. 3 Bst. b (Datenschutz-Folgenabschätzung) und Art. 37 Abs. 1 Bst. c (Datenschutzbeauftragter) explizit besondere Pflichten oder Einschränkungen für die Verarbeitung personenbezogener Daten gemäss Art. 9 oder 10 DSGVO genannt. Andernorts führt die Verarbeitung solcher Daten zu einer höheren Einschätzung des Risikos für betroffene Personen, was erweiterte datenschutzrechtliche Pflichten zur Folge hat (z.B. Anforderungen an die Sicherheit der Verarbeitung gemäss Art. 32 DSGVO oder Meldepflichten nach Art. 33 und 34 DSGVO). Und schliesslich wiegt ein Verstoss gegen Art. 9 auch bei der Verhängung von Bussgeldern schwerer (Art. 83 Abs. 5 lit. a DSGVO).