Was sind personenbezogene Daten?
Personenbezogene Daten sind nach Artikel 4 der DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist eine Person, wenn sie sich direkt oder indirekt zuordnen lässt, etwa über einen Namen, eine Kennnummer, Standortdaten oder ein Online-Kennzeichen.
Der Begriff ist bewusst weit gefasst. Sobald sich ein Datum einer Person zuordnen lässt, fällt es unter den Schutz der DSGVO. Daten ausschließlich juristischer Personen wie reine Firmendaten sind dagegen nicht erfasst.
Welche Beispiele gibt es?
Zu den personenbezogenen Daten gehören weit mehr als nur Name und Anschrift. Typische Beispiele sind:
- Name, Adresse, Geburtsdatum und Telefonnummer
- E-Mail-Adressen, IP-Adressen und Cookie-Kennungen
- Bankverbindung, Kundennummer und Vertragsdaten
- Standortdaten, Fotos und Stimmaufnahmen
- Personaldaten von Mitarbeitenden
Eine besonders sensible Untergruppe bilden die besonderen Kategorien personenbezogener Daten nach Artikel 9, etwa Gesundheits- oder Religionsdaten. Für sie gelten strengere Anforderungen.
Wann sind Daten nicht mehr personenbezogen?
Daten verlieren ihren Personenbezug durch Anonymisierung: Lässt sich eine Person endgültig nicht mehr zuordnen, greift die DSGVO nicht mehr. Davon zu unterscheiden ist die Pseudonymisierung, bei der eine Zuordnung über einen Schlüssel weiterhin möglich bleibt. Pseudonyme Daten gelten weiterhin als personenbezogen.
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage und unterliegt den Betroffenenrechten. Wer den Personenbezug seiner Datenbestände sauber bewertet, schafft die Grundlage für ein belastbares Datenschutzkonzept.