Personenbezogene Daten

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das ist bewusst weit gefasst: Es reicht schon aus, dass eine Person mit vertretbarem Aufwand identifizierbar ist, direkt oder über Zusatzinformationen.

Was zählt dazu?

Was zählt nicht dazu?

Anonymisierte Daten, bei denen ein Personenbezug dauerhaft und unwiderruflich ausgeschlossen ist, fallen nicht unter den Begriff. Pseudonymisierte Daten dagegen schon, denn hier bleibt eine Zuordnung über einen Schlüssel möglich, auch wenn du diesen Schlüssel getrennt aufbewahrst.

Besondere Kategorien: strengere Regeln

Für sensible Daten wie Gesundheits-, Herkunfts- oder Gewerkschaftsdaten gilt Art. 9 DSGVO mit strengeren Anforderungen. Eine einfache Interessenabwägung reicht hier meist nicht; in der Regel brauchst du eine ausdrückliche Einwilligung oder eine spezifische gesetzliche Erlaubnis.

Der Test: Ist eine Person identifizierbar?

Entscheidend ist nicht, ob du selbst eine Person tatsächlich identifizierst, sondern ob dies mit vertretbarem Aufwand möglich wäre, notfalls durch Kombination mehrerer Informationen. Eine einzelne Postleitzahl ist meist kein personenbezogenes Datum, eine Kombination aus Postleitzahl, Geburtsdatum und Beruf kann dagegen schon ausreichen, um eine Person eindeutig einzugrenzen. Diese weite Auslegung ist bewusst gewählt, damit auch indirekte Identifizierungswege erfasst werden.

Beispiel: Wann wird aus einer Zahl ein personenbezogenes Datum?

Eine Kundennummer allein sagt zunächst wenig aus. Sobald du aber eine Tabelle führst, in der diese Nummer einem Namen zugeordnet ist, egal ob in derselben Datei oder einer separaten, gilt die Kundennummer als personenbezogen, weil die Zuordnung technisch möglich ist. Das gilt selbst dann, wenn nur eine einzige Person im Unternehmen Zugriff auf die Zuordnungstabelle hat.

Praxisbeispiel

Ein Onlineshop speichert Name, Lieferadresse und E-Mail-Adresse für die Bestellabwicklung. Alle drei sind personenbezogene Daten und müssen in der Datenschutzerklärung mit Zweck und Rechtsgrundlage genannt werden. Speichert der Shop zusätzlich Kaufhistorien zur Produktempfehlung, ist auch das ein personenbezogenes Datum, das eine eigene Erwähnung braucht, weil der Verarbeitungszweck ein anderer ist als die reine Bestellabwicklung.