Kurz erklärt: Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, vom Namen über die E-Mail-Adresse bis zur IP-Adresse oder Kundennummer.
Was bedeutet Personenbezogene Daten?
Entscheidend ist nicht, ob eine Information privat oder sensibel wirkt, sondern ob sie einer Person zugeordnet werden kann. Dazu reicht es, wenn die Zuordnung mit verhältnismäßigem Aufwand möglich ist, auch über Hilfsmittel wie Kundennummern, Kennzeichen, Standortdaten oder Online-Kennungen. Daten über Unternehmen (juristische Personen) fallen nicht darunter, wohl aber Daten über deren Ansprechpartner.
Besondere Kategorien wie Gesundheitsdaten, Religionszugehörigkeit oder biometrische Daten genießen nach Art. 9 DSGVO zusätzlichen Schutz.
Rechtsgrundlage
- Art. 4 Nr. 1 DSGVO (Begriffsbestimmung)
- Erwägungsgrund 26 DSGVO (Identifizierbarkeit, Anonymisierung)
- Art. 9 DSGVO (besondere Kategorien)
In der Praxis
Fast jeder Betrieb verarbeitet mehr personenbezogene Daten, als er annimmt: Kundenadressen, Ansprechpartner bei Lieferanten, Bewerbungen, Zeiterfassung, Fotos, Fahrzeugortung, Besucherlisten, Website-Logfiles. Der erste Schritt jeder Datenschutzorganisation ist deshalb eine Bestandsaufnahme, welche Daten wo anfallen.
Häufige Fragen
Fragen zu Personenbezogene Daten
Sind geschäftliche E-Mail-Adressen personenbezogen?
Ja, sobald eine natürliche Person erkennbar ist, etwa vorname.nachname@firma.de. Eine Funktionsadresse wie info@firma.de ist es nur, wenn sie einer bestimmten Person zugeordnet werden kann.
Sind IP-Adressen personenbezogene Daten?
Ja. Der Europäische Gerichtshof hat bereits 2016 entschieden, dass auch dynamische IP-Adressen für den Betreiber einer Website personenbezogen sein können, weil eine Zuordnung über den Provider möglich ist.
Verwandte Begriffe