Personenbezogene Daten: Definition und Beispiele

Ob die DSGVO überhaupt greift, entscheidet sich meist an einer Grundfrage: Geht es um personenbezogene Daten? Die Antwort ist in der Praxis nicht immer offensichtlich. Denn Personenbezug kann auch ohne Namen, Adresse oder direkte Identifikation bestehen.

DSGVO-Grundlagen Für Unternehmen Für Kommunen Praxisbeispiele Abgrenzung
Personenbezogene Daten nach DSGVO verständlich erklärt

Kurzantwort

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Das betrifft nicht nur Name, Adresse oder Telefonnummer. Auch Kundennummern, Personalnummern, Aktenzeichen, IP-Adressen, Fotos, Standortdaten oder Nutzerkennungen können personenbezogen sein.

Entscheidend ist immer der Zusammenhang: Kann eine natürliche Person direkt oder indirekt bestimmt werden, ist Datenschutzrecht regelmäßig zu beachten.

Einordnung

Personenbezogene Daten: Worum geht es?

Personenbezogene Daten sind der Einstiegspunkt in das Datenschutzrecht. Wenn keine personenbezogenen Daten verarbeitet werden, greift die DSGVO regelmäßig nicht. Sobald aber ein Personenbezug besteht, müssen Rechtsgrundlage, Zweck, Transparenz, Sicherheit und Dokumentation geprüft werden.

In der Praxis ist die Abgrenzung häufig schwieriger als gedacht. Viele Organisationen achten nur auf Namen oder Adressen. Datenschutzrechtlich kann der Personenbezug aber auch über Kennnummern, Zusatzwissen, Aktenzeichen, technische Kennungen oder Kombinationen mehrerer Informationen entstehen.

Deshalb ist die Frage nicht nur: „Steht ein Name dabei?“ Entscheidend ist: Kann eine natürliche Person mit vertretbarem Aufwand direkt oder indirekt bestimmt werden?

Definition

Was sind personenbezogene Daten?

Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Identifiziert ist eine Person, wenn klar ist, um wen es geht. Identifizierbar ist eine Person, wenn sie direkt oder indirekt bestimmt werden kann, etwa über eine Kennung, ein Aktenzeichen, eine Kundennummer, Standortdaten, Online-Kennungen oder besondere Merkmale.

Der Begriff ist bewusst weit. Erfasst werden können objektive Informationen, Einschätzungen, Bewertungen, Kommunikationsinhalte, technische Daten und Vorgangsdaten, wenn sie einen Personenbezug haben.

Praktischer Grundsatz: Personenbezogene Daten liegen nicht erst vor, wenn der Name einer Person genannt wird. Auch indirekte Zuordnung kann ausreichen.

Praxisbeispiele

Typische Beispiele für personenbezogene Daten

Kontaktdaten

Name, Anschrift, Telefonnummer, E-Mail-Adresse oder private Erreichbarkeit.

Kundendaten

Kundennummer, Bestellhistorie, Vertragsdaten, Rechnungsdaten oder Beschwerden.

Beschäftigtendaten

Personalnummer, Arbeitszeit, Krankheitstage, Bewerbungsunterlagen oder Beurteilungen.

Bürgerdaten

Meldedaten, Anträge, Aktenzeichen, Bescheide, Termine oder Verwaltungsverfahren.

Online-Daten

IP-Adresse, Cookie-ID, Gerätekennung, Login-Daten oder Nutzerverhalten.

Bilddaten

Fotos, Videoaufnahmen oder Ausweiskopien, wenn Personen erkennbar sind.

Abgrenzung

Sind Unternehmensdaten personenbezogene Daten?

Nicht jede Information über ein Unternehmen ist personenbezogen. Die reine Bezeichnung einer GmbH, einer AG oder einer Körperschaft ist grundsätzlich keine Information über eine natürliche Person.

Anders kann es aussehen, wenn Angaben zu Einzelunternehmern, Geschäftsführern, Ansprechpartnern, Beschäftigten oder konkreten handelnden Personen verarbeitet werden.

Auch bei kleinen Betrieben ist Vorsicht erforderlich. Bei Einzelunternehmen oder sehr personenbezogenen Firmierungen kann die Grenze schneller überschritten sein als bei großen Kapitalgesellschaften.

Für die Praxis bedeutet das: Unternehmensdaten nicht automatisch mit personenbezogenen Daten gleichsetzen, aber den konkreten Kontext prüfen.

Indirekte Erkennbarkeit

Wann liegt indirekter Personenbezug vor?

Indirekter Personenbezug liegt vor, wenn eine Person nicht unmittelbar genannt wird, aber mit Zusatzwissen oder weiteren Informationen bestimmbar ist.

Beispiele sind Aktenzeichen, Vorgangsnummern, Kfz-Kennzeichen, Personalnummern, IP-Adressen, Standortdaten oder pseudonymisierte Datensätze. Solche Informationen können je nach Zugriffsmöglichkeiten und Kontext personenbezogen sein.

Gerade in Kommunen ist das wichtig. Innerhalb einer Verwaltung kann ein Aktenzeichen oder ein Vorgang für Außenstehende unklar sein, intern aber sehr schnell einer bestimmten Person zugeordnet werden.

Die Bewertung hängt vom Einzelfall ab. Entscheidend ist insbesondere, welche Mittel zur Identifizierung nach allgemeinem Ermessen wahrscheinlich genutzt werden können.

Sensible Daten

Besondere Kategorien personenbezogener Daten

Ein Teil personenbezogener Daten ist besonders schutzbedürftig. Art. 9 DSGVO nennt unter anderem Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, genetische Daten, politische Meinungen, religiöse oder weltanschauliche Überzeugungen und Gewerkschaftszugehörigkeit.

Solche Daten dürfen nur unter strengeren Voraussetzungen verarbeitet werden. Für Kommunen, Arztpraxen, soziale Einrichtungen, Arbeitgeber und Vereine kann das besonders relevant sein.

In der Praxis sollte früh geprüft werden, ob nur normale Kontaktdaten verarbeitet werden oder ob besondere Kategorien betroffen sind. Davon hängen Rechtsgrundlage, Schutzmaßnahmen und Dokumentationspflichten erheblich ab.

Bayerische öffentliche Stellen

Was sagt der BayLfD zu personenbezogenen Daten?

Der BayLfD stellt klar, dass personenbezogene Daten alle Informationen sind, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein Personenbezug liegt danach nicht erst vor, wenn sich die Identität unmittelbar aus den Daten ergibt.

Ausreichend kann sein, dass eine Person direkt oder indirekt identifiziert werden kann. Der BayLfD weist dabei besonders auf die praktische Bedeutung von Zusatzwissen, Identifizierungsmöglichkeiten und den konkreten Zusammenhang der Verarbeitung hin.

Für bayerische öffentliche Stellen ist das zentral. Denn in Verwaltungsverfahren werden häufig Aktenzeichen, Vorgangsnummern, Registerdaten, Anträge, Bescheide oder interne Vermerke verarbeitet, die für sich allein harmlos wirken können, im Verwaltungskontext aber einer Person zugeordnet werden.

Für Kommunen bedeutet das: Nicht nur Bürgername und Adresse sind relevant. Auch Vorgänge, Kennungen, Aktenzeichen, Fotos, Termine oder interne Notizen können personenbezogene Daten sein.

Kommunale Praxis

Personenbezogene Daten in Kommunen

Kommunen verarbeiten personenbezogene Daten in fast allen Bereichen. Typische Beispiele sind Einwohnermeldeamt, Gewerbeamt, Bauamt, Ordnungsamt, Kita, Schule, Personalverwaltung, Steueramt, Ratsarbeit, Friedhofsverwaltung, Veranstaltungen und Bürgerkommunikation.

Datenschutzrechtlich relevant ist nicht nur die große Fachanwendung. Auch einfache E-Mails, Excel-Listen, Protokolle, Kalendertermine, Notizen und Anlagen können personenbezogene Daten enthalten.

Besondere Vorsicht ist geboten, wenn Daten intern weitergeleitet, an Dienstleister übermittelt oder in Ratsinformationssysteme, Cloud-Dienste oder Online-Formulare eingebunden werden.

Der erste Prüfschritt lautet daher immer: Welche Daten betreffen welche Personen und wer kann sie zuordnen?

Unternehmenspraxis

Personenbezogene Daten in Unternehmen

Unternehmen verarbeiten personenbezogene Daten etwa bei Kundenanfragen, Angeboten, Rechnungen, Bewerbungen, Beschäftigtenverwaltung, Newsletter, Website, Terminbuchungen, Videoüberwachung oder Supportfällen.

Auch kleine Unternehmen und Vereine sind betroffen. Schon eine Kontaktliste, ein E-Mail-Verteiler, ein Bewerbungsordner oder ein Kontaktformular kann eine datenschutzrechtlich relevante Verarbeitung darstellen.

Wichtig ist die Trennung zwischen reinen Unternehmensdaten und Informationen über konkrete Personen. Eine allgemeine Firmenadresse kann anders zu bewerten sein als eine direkte personenbezogene E-Mail-Adresse eines Ansprechpartners.

Praxisfehler

Typische Fehler bei personenbezogenen Daten

Nur Namen beachtet

Aktenzeichen, Kennnummern, IP-Adressen oder Fotos werden übersehen.

Unternehmen falsch eingeordnet

Unternehmensdaten werden pauschal als personenbezogen oder pauschal als nicht personenbezogen bewertet.

Zusatzwissen vergessen

Intern vorhandene Zuordnungsmöglichkeiten werden bei der Prüfung nicht berücksichtigt.

Sensible Daten übersehen

Gesundheitsdaten, Sozialdaten oder biometrische Daten werden wie normale Kontaktdaten behandelt.

Technische Daten unterschätzt

IP-Adressen, Cookie-IDs oder Gerätekennungen werden nicht als Datenschutzthema erkannt.

Kontext nicht geprüft

Die gleiche Information kann je nach Zusammenhang unterschiedlich zu bewerten sein.

Orientierung

Orientierungsfragen für die erste Einordnung

Die folgenden Fragen dienen nur der ersten Orientierung. Sie ersetzen keine vollständige Prüfung, weil der Personenbezug stark vom konkreten Zusammenhang abhängt.

1

Bezieht sich die Information auf eine natürliche Person?

2

Ist die Person direkt erkennbar, etwa durch Name oder Foto?

3

Kann die Person indirekt über Kennnummern, Aktenzeichen oder Zusatzwissen bestimmt werden?

4

Welche Stelle verfügt über mögliche Zuordnungsinformationen?

5

Handelt es sich nur um reine Unternehmensdaten oder auch um Angaben zu konkreten Personen?

6

Sind besondere Kategorien personenbezogener Daten betroffen?

7

Wer erhält Zugriff auf die Daten?

8

Welche Risiken können entstehen, wenn die Daten offengelegt oder falsch verwendet werden?

Bewusst keine vollständige Prüflogik: Ob Daten im konkreten Fall personenbezogen sind, hängt von Kontext, Zusatzwissen, Zugriffsmöglichkeiten und Identifizierbarkeit ab.

Häufige Fragen

FAQ zu personenbezogenen Daten

Sind Namen immer personenbezogene Daten?

Ja, wenn sie sich auf eine natürliche Person beziehen. Bei bloßen Fantasienamen oder rein technischen Beispielen kann es anders sein, wenn keine reale Person bestimmbar ist.

Ist eine IP-Adresse ein personenbezogenes Datum?

Eine IP-Adresse kann personenbezogen sein, wenn eine Person direkt oder indirekt identifizierbar ist. Die Bewertung hängt vom konkreten Zusammenhang ab.

Sind Firmendaten personenbezogene Daten?

Reine Daten über eine juristische Person sind grundsätzlich keine personenbezogenen Daten. Angaben zu Einzelunternehmern, Ansprechpartnern oder Beschäftigten können aber personenbezogen sein.

Sind Aktenzeichen personenbezogene Daten?

Aktenzeichen können personenbezogen sein, wenn sie mit Zusatzwissen einer natürlichen Person zugeordnet werden können. In Verwaltungen ist das häufig der Fall.

Sind Fotos personenbezogene Daten?

Fotos können personenbezogene Daten sein, wenn Personen erkennbar oder bestimmbar sind. Je nach Zweck und Inhalt können zusätzliche Anforderungen gelten.

Wann sind Daten anonym?

Daten sind anonym, wenn eine natürliche Person nicht oder nicht mehr identifiziert werden kann. Pseudonyme Daten sind dagegen häufig weiterhin personenbezogen.

Ergebnis

Fazit

Personenbezogene Daten sind der Schlüssel zur DSGVO. Der Begriff ist weit und erfasst nicht nur klassische Kontaktdaten, sondern auch indirekte Kennungen, technische Daten, Aktenzeichen, Fotos und Vorgangsdaten.

Für Kommunen und Unternehmen ist deshalb wichtig, nicht nur auf offensichtliche Namen zu schauen. Entscheidend ist, ob eine natürliche Person im konkreten Zusammenhang direkt oder indirekt bestimmbar ist.

Die richtige Einordnung ist Grundlage für alles Weitere: Rechtsgrundlage, Datenschutzhinweise, Löschfristen, Dienstleisterprüfung, Betroffenenrechte und technische Schutzmaßnahmen.

Weiterlesen

Passende interne Verlinkung

Datenschutz-Grundlagen Rechtsgrundlagen DSGVO Datenschutzhinweise nach Art. 13 DSGVO Betroffenenrechte Datenschutz für Unternehmen Datenschutz für Kommunen DSGVO-Beratung Kontakt aufnehmen

Nachweise

Quellen

Verordnung (EU) 2016/679: Datenschutz-Grundverordnung, insbesondere Art. 4 Nr. 1, Art. 4 Nr. 2 und Art. 9 DSGVO Bayerischer Landesbeauftragter für den Datenschutz: Allgemeines Datenschutzrecht – Identifizierbarkeit natürlicher Personen Bayerischer Landesbeauftragter für den Datenschutz: Aktuelle Kurz-Information 53 – Wann ist eine natürliche Person identifizierbar? Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Grundlagen des Datenschutzrechts

Unklar, ob Daten personenbezogen sind?

Gerade bei Aktenzeichen, Unternehmensdaten, IP-Adressen, Fotos oder pseudonymen Daten hängt die Bewertung vom konkreten Zusammenhang ab. Eine kurze Einordnung verhindert spätere Fehler bei Rechtsgrundlage, Information und Dokumentation.

Fall einordnen lassen