Kurzdefinition: Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Begriff ist der Anwendungsschlüssel der DSGVO: Nur wo personenbezogene Daten verarbeitet werden, gilt sie. [N-DSGVO-4]
Der Normwortlaut
Art. 4 Nr. 1 DSGVO lautet: „‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung … identifiziert werden kann.“ [N-DSGVO-4]
Was zählt zu personenbezogenen Daten?
Nicht nur Name und Anschrift. Erfasst ist jede Information mit Bezug zu einer bestimmbaren Person: Kennnummern, Standortdaten, Online-Kennungen wie IP-Adressen oder Cookie-IDs, aber auch Merkmale, die eine Person mittelbar identifizierbar machen. Entscheidend ist die Identifizierbarkeit — direkt oder indirekt. Daten ohne jeden Personenbezug, etwa anonymisierte oder rein technische Maschinendaten, fallen nicht darunter. [N-DSGVO-4]
Gehören auch indirekt zuordenbare Daten dazu?
Ja. Art. 4 Nr. 1 DSGVO stellt ausdrücklich auf die direkte oder indirekte Identifizierbarkeit ab. Es genügt, dass eine Person über eine Zusammenschau von Informationen bestimmbar wird — auch wenn kein einzelnes Datum den Namen nennt. Diese Weite ist der Grund, warum der Anwendungsbereich der DSGVO so groß ist. [N-DSGVO-4]
Was ist der Unterschied zu besonderen Kategorien?
Personenbezogene Daten sind der Oberbegriff. Ein Teil von ihnen — die besonderen Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten oder biometrische Daten zur eindeutigen Identifizierung — genießt erhöhten Schutz. Alle besonderen Kategorien sind personenbezogene Daten, aber nicht alle personenbezogenen Daten sind besondere Kategorien. [N-DSGVO-4] [N-DSGVO-9]
Was macht eine Person identifizierbar?
Die Zuordenbarkeit. Nach Art. 4 Nr. 1 DSGVO ist eine Person identifizierbar, wenn sie direkt oder indirekt identifiziert werden kann — insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten oder zu einer Online-Kennung. Es genügt also die mittelbare Zuordnung. [N-DSGVO-4]
Schützt die Definition auch juristische Personen?
Nein. Art. 4 Nr. 1 DSGVO stellt auf die natürliche Person ab. Daten, die sich ausschließlich auf ein Unternehmen als solches beziehen, sind keine personenbezogenen Daten — anders, sobald sie einer natürlichen Person zugeordnet werden können. [N-DSGVO-4]
Häufige Fehlannahmen
- „Nur Name und Adresse sind personenbezogene Daten.“ Nein. Auch Online-Kennungen, Standortdaten und indirekt zuordenbare Informationen zählen. [N-DSGVO-4]
- „Ohne Namen kein Personenbezug.“ Nein. Art. 4 Nr. 1 DSGVO erfasst auch die indirekte Identifizierbarkeit. [N-DSGVO-4]
- „Alle personenbezogenen Daten sind gleich sensibel.“ Nein. Die besonderen Kategorien nach Art. 9 DSGVO sind ein besonders geschützter Teil. [N-DSGVO-4]
- „Eine IP-Adresse oder ein Standort ist kein personenbezogenes Datum.“ Doch. Als Zuordnung zu einer Online-Kennung oder zu Standortdaten kann sie eine Person identifizierbar machen. [N-DSGVO-4]
- „Pseudonymisierte Daten sind bereits anonym.“ Nein. Solange sie über Zusatzinformationen einer Person zugeordnet werden können, bleiben sie personenbezogen; nur echte Anonymisierung führt aus dem Anwendungsbereich heraus. [N-DSGVO-4]
Was die Geschäftsleitung tun sollte
- Datenbestände einordnen. Prüfen, welche Verarbeitungen personenbezogene Daten betreffen.
- Indirekte Bezüge mitdenken. Auch Kennungen und Standortdaten sind erfasst.
- Anonymisierung sauber trennen. Nur echte Anonymisierung führt aus dem Anwendungsbereich heraus.
- Besondere Kategorien markieren. Sensible Daten gesondert behandeln.
Für die Geschäftsleitung
Der Begriff der personenbezogenen Daten ist der Türöffner der DSGVO — und er ist weit. Wer glaubt, ohne Namen keine personenbezogenen Daten zu verarbeiten, unterschätzt die indirekte Identifizierbarkeit über Kennungen und Standortdaten. Die Einordnung der eigenen Datenbestände ist deshalb der erste Schritt jeder Datenschutz-Organisation.
Quellen
- [N-DSGVO-4] Art. 4 DSGVO (Begriffsbestimmungen), Nr. 1 (personenbezogene Daten). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-9] Art. 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten), Abs. 1. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
