Was sind personenbezogene Daten? Erklärung mit Beispielen
Fast jede Datenschutzfrage beginnt mit derselben Frage: Geht es um personenbezogene Daten? Nur dann gilt die DSGVO. Der Begriff ist weiter, als viele denken. Hier erfahren Sie, was das Gesetz sagt, worin der Unterschied zwischen direkt und indirekt identifizierbaren Daten liegt und welche Daten besonders geschützt sind.
Die Definition in der DSGVO
Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist eine Person, die direkt oder indirekt identifiziert werden kann, etwa mittels Name, Kennnummer, Standortdaten, Online-Kennung oder besonderer Merkmale ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität.
- Es geht um natürliche Personen, also lebende Menschen. Daten über eine GmbH als juristische Person fallen nicht darunter, Name und E-Mail-Adresse einer Mitarbeiterin aber schon.
- „Alle Informationen“ ist weit gefasst: Auch Meinungen, Beurteilungen und Fotos können personenbezogene Daten sein.
- Auch indirekt identifizierbare Informationen zählen.
Direkt und indirekt identifizierbar
Direkt identifizierbar sind Daten, die schon für sich auf eine Person verweisen, etwa Name mit Anschrift, Steuer-ID oder Passfoto. Indirekt identifizierbar sind Daten, die erst zusammen mit anderen Informationen jemanden erkennbar machen: ein Kfz-Kennzeichen, eine Kundennummer, eine IP-Adresse oder eine Beschreibung wie „die einzige Zahnärztin im Dorf“. Nach Erwägungsgrund 26 DSGVO sind alle Mittel zu berücksichtigen, die nach allgemeinem Ermessen wahrscheinlich zur Identifizierung genutzt werden.
Beispiele für personenbezogene Daten
- Name, Anschrift, Wohnort, Telefonnummer und E-Mail-Adresse;
- Geburtsdatum, Steuer-ID, Ausweisnummer und Ausweiskopie;
- IBAN, Kunden-, Versicherungs- und Rechnungsdaten mit Namen;
- Kfz-Kennzeichen, IP-Adresse, Cookie-ID und Standortdaten;
- Fotos und Videoaufnahmen, auf denen jemand erkennbar ist;
- eine Beurteilung, eine Fehlzeitenübersicht oder eine Beschwerdeakte über eine Person.
Besondere Kategorien personenbezogener Daten
Manche Daten sind so sensibel, dass die DSGVO ihre Verarbeitung grundsätzlich verbietet (Art. 9 DSGVO): Daten, aus denen die ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetische Daten, biometrische Daten zur Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Ausnahmen gibt es, etwa die ausdrückliche Einwilligung oder eine gesetzliche Pflicht, aber die Hürden sind hoch.
Für Daten über Straftaten gilt Art. 10 DSGVO, und für Kennnummern wie die Steuer-ID gelten in Deutschland zusätzliche Regeln; siehe Steuer-ID und Ausweisnummern schwärzen.
Wann liegen keine personenbezogenen Daten vor?
Daten über Verstorbene, über Unternehmen als solche und wirklich anonyme Daten fallen nicht unter die DSGVO. „Anonym“ heißt: Niemand kann die Person nach allgemeinem Ermessen noch identifizieren. Namen durch Platzhalter zu ersetzen ist meist eine Pseudonymisierung, und dann gilt die DSGVO weiter. Den Unterschied erklärt Pseudonymisierung oder Anonymisierung.
In der Praxis: Sie möchten einen Brief oder ein Dokument mit Kollegen, Beratern oder einem KI-Assistenten teilen? Entfernen Sie zuerst die personenbezogenen Daten, die der Empfänger nicht braucht. VerumVault ersetzt Namen, Steuer-IDs, IBAN, Adressen und Telefonnummern lokal in Ihrem Browser durch Platzhalter.
Lesen Sie auch: Dokument anonymisieren in 3 Schritten und DSGVO für KMU.
Dokument jetzt kostenlos mit VerumVault anonymisieren →Läuft lokal in Ihrem Browser · kein Upload · kein KontoHäufige Fragen
Ist eine E-Mail-Adresse ein personenbezogenes Datum?
Ja, wenn sie einer Person zugeordnet werden kann, etwa [email protected]. Eine allgemeine Adresse wie [email protected] meist nicht, außer es steckt nur eine Person dahinter.
Ist eine IP-Adresse ein personenbezogenes Datum?
Oft ja. Zusammen mit Daten des Internetanbieters kann eine IP-Adresse zu einer Person führen. Der EuGH hat das unter bestimmten Voraussetzungen auch für dynamische IP-Adressen angenommen.
Sind Unternehmensdaten personenbezogen?
Daten über eine juristische Person wie eine GmbH nicht. Daten über Einzelunternehmer und Kontaktdaten von Beschäftigten häufig schon, weil sie zu einer Person führen.
Was sind besondere Kategorien personenbezogener Daten?
Unter anderem Gesundheitsdaten, Religion, ethnische Herkunft, politische Meinungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung sowie genetische und biometrische Daten. Ihre Verarbeitung ist grundsätzlich verboten (Art. 9 DSGVO).