Personenbezogene Daten nach DSGVO: Definition & Beispiele

Was sind personenbezogene Daten (Art. 4 Nr. 1 DSGVO)?

Kurzantwort: Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – die Identifizierbarkeit kann auch indirekt über Kennungen oder Datenkombinationen entstehen.

Die Definition hat zwei Kernelemente:

• „Information“: Gemeint ist jede Art von Information (Text, Zahl, Bild, Ton, Messwert, Kennung, Protokoll, Bewertung).
• „Bezug zu einer natürlichen Person“: Die Information betrifft eine Person (z. B. Eigenschaften, Verhalten, Kontakte, Standort, Zugehörigkeiten, Kommunikation).

Wichtig: Die DSGVO schützt natürliche Personen. Reine Unternehmensdaten ohne Personenbezug (z. B. „Muster GmbH, Sitz Berlin“) sind typischerweise nicht erfasst. In der Praxis entsteht der Personenbezug aber schnell – etwa bei Ansprechpartnern, personalisierten E-Mail-Adressen oder Einzelfirmen/Selbstständigen (wo Unternehmens- und Personendaten oft zusammenfallen).

„Identifiziert oder identifizierbar“: Wie wird eine Person bestimmbar?

Kurzantwort: Identifizierbar ist eine Person, wenn sie direkt (z. B. Name) oder indirekt (z. B. Kennung, Profil, Kombination) bestimmt werden kann – maßgeblich sind realistische Zusatzinformationen und der erwartbare Aufwand.

Direkte Identifizierung: Name, Kontakt, eindeutige Nummer

Kurzantwort: Direkt identifizierende Daten ermöglichen die Zuordnung ohne Umwege, etwa über Name, Anschrift oder eine eindeutige Nummer mit unmittelbarer Zuordnung.

• Klarnamen, Anschriften, personalisierte E-Mail-Adressen, Telefonnummern
• Kundennummern/Personalnummern, wenn sie im System einer Person zugeordnet sind
• Fotos/Videos, wenn Personen erkennbar sind

Indirekte Identifizierung: Kennungen, Profile, Kombinationen

Kurzantwort: Indirekt identifizierende Daten können über Zuordnungslisten, Profile oder Kombinationen eine Person bestimmbar machen – auch ohne Kenntnis des Namens.

• Online-Kennungen (Cookie-ID, Geräte-ID, App-Instanz-ID): ermöglichen Wiedererkennung/Profilbildung.
• Standortdaten: Bewegungsmuster können eine Person identifizierbar machen.
• Protokoll-/Logdaten: können je nach Zugriffsmöglichkeiten und Verknüpfbarkeit personenbezogen sein.

Kontext & „Mittel Dritter“: Warum pauschale Aussagen riskant sind

Kurzantwort: Ob Daten personenbezogen sind, ist oft kontextabhängig: Welche Zusatzinfos sind für den Verantwortlichen oder Dritte realistisch verfügbar – und ist eine Identifizierung ohne unverhältnismäßigen Aufwand möglich?

Praxisbeispiel: IP-Adressen oder Cookie-IDs sind nicht automatisch „immer“ personenbezogen – sie können es sein, wenn eine Identifizierung (ggf. über weitere Stellen/Informationen) realistisch möglich ist. Genau deshalb ist eine saubere Formulierung wichtig: nicht „immer“, sondern „kann – abhängig von Zugriff, Zusatzwissen und Aufwand“.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Kurzantwort: Art. 9 DSGVO enthält eine abschließende Liste besonders schutzbedürftiger Daten; deren Verarbeitung ist grundsätzlich untersagt, außer es greift eine gesetzliche Ausnahme.

Zu den besonderen Kategorien zählen personenbezogene Daten, aus denen u. a. hervorgehen:

• rassische oder ethnische Herkunft
• politische Meinungen
• religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• genetische Daten
• biometrische Daten – nur wenn sie zur eindeutigen Identifizierung verarbeitet werden
• Gesundheitsdaten
• Daten zum Sexualleben oder der sexuellen Orientierung

Daten zu Straftaten und Verurteilungen (Art. 10 DSGVO)

Kurzantwort: Daten über strafrechtliche Verurteilungen, Straftaten oder damit zusammenhängende Sicherheitsmaßnahmen sind in Art. 10 DSGVO gesondert geregelt und dürfen nur unter strengen Voraussetzungen verarbeitet werden.

Art. 10 DSGVO verlangt vereinfacht: Solche Daten dürfen (auf Basis von Art. 6 Abs. 1 DSGVO) grundsätzlich nur verarbeitet werden, wenn

• dies unter Kontrolle einer Behörde geschieht oder
• die Verarbeitung durch Unions-/Mitgliedstaatrecht erlaubt ist und geeignete Garantien vorsieht.

Praxisfolgen: Wenn Sie z. B. Führungszeugnisse, Ermittlungs-/Sanktionsangaben oder sicherheitsrelevante Vermerke verarbeiten, sollten Sie frühzeitig klären, welche konkrete Rechtsgrundlage greift und welche Schutzmaßnahmen (Zugriff, Protokollierung, Löschung, Berechtigungskonzepte) erforderlich sind.

Pseudonymisierung vs. Anonymisierung: Wann gilt die DSGVO noch?

Kurzantwort: Pseudonymisierte Daten bleiben meist personenbezogen, weil eine Zuordnung mit Zusatzwissen möglich ist. Anonymisierte Daten fallen grundsätzlich nicht unter die DSGVO – aber nur, wenn eine Re-Identifizierung realistisch nicht mehr möglich ist.

Pseudonymisierung: Risiko senken, Pflichten bleiben

Kurzantwort: Pseudonymisierung ersetzt direkte Kennungen durch ein Merkmal (z. B. Token) und hält Zusatzinfos getrennt – die Daten sind dadurch nicht automatisch „DSGVO-frei“.

Art. 4 Nr. 5 DSGVO beschreibt Pseudonymisierung als Verarbeitung, bei der Daten ohne Zusatzinformationen nicht mehr einer Person zugeordnet werden können, sofern diese Zusatzinformationen getrennt und geschützt sind. Typisch bleibt der Personenbezug aber bestehen – besonders für Stellen, die den Schlüssel/die Zuordnung besitzen oder realistisch erlangen können.

Anonymisierung: „Nicht mehr identifizierbar“ – auch mit realistischer Zusatzinfo

Kurzantwort: Anonymisierung verlangt, dass die Person nicht oder nicht mehr identifizierbar ist – auch nicht durch Zusammenführung mit Daten, die vernünftigerweise zu erwarten sind.

Der Maßstab ist streng: Wenn eine Re-Identifizierung (z. B. über seltene Merkmalskombinationen, kleine Gruppen oder externe Datenquellen) realistisch möglich bleibt, sind die Daten weiterhin personenbezogen.

Nice to know: Ob Daten „für einen Empfänger“ anonym sein können, ist ebenfalls kontextabhängig. Wenn ein Empfänger keine realistische Möglichkeit hat, die Person zu bestimmen (kein Schlüssel, kein Zugriff, keine erwartbaren Mittel), kann sich die Bewertung für diese Stelle anders darstellen. Das ersetzt aber nicht die Pflicht, die eigene Verarbeitung sauber zu prüfen und zu dokumentieren.

Praxis-Check: So erkennen und klassifizieren Sie personenbezogene Daten rechtssicher

Kurzantwort: Prüfen Sie systematisch (1) Informationsart, (2) Personenbezug, (3) Identifizierbarkeit, (4) Art. 9/10-Relevanz, (5) Ergebnis dokumentieren – idealerweise im Dateninventar/Verzeichnis der Verarbeitungstätigkeiten.

Ein praxistaugliches Vorgehen (auch geeignet für interne Richtlinien und das Verzeichnis nach Art. 30 DSGVO):

• Schritt 1 – Datenquelle: Wo entstehen die Daten (Website, App, CRM, HR, E-Mail, Video, Dienstleister)?
• Schritt 2 – Kennungen: Welche Identifikatoren fallen an (Name, ID, Cookie, IP, Standort, Bild)?
• Schritt 3 – Zuordnung: Gibt es Systeme/Listen, die eine Zuordnung ermöglichen (intern/extern)?
• Schritt 4 – Art. 9/10 prüfen: Sonderregeln ja/nein? (Liste aus Art. 9, Straftaten nach Art. 10)
• Schritt 5 – Schutzbedarf: Welche Risiken bestehen (Profilbildung, Diskriminierung, Identitätsdiebstahl)?
• Schritt 6 – Ergebnis dokumentieren: Kurz begründen („warum personenbezogen/warum anonym“), Verantwortlichkeiten festhalten.

Wenn Sie diese Klassifizierung konsequent durchführen, wird der nächste Schritt deutlich leichter: Rechtsgrundlagen, Informationspflichten, Löschkonzept, TOMs, Betroffenenrechte und ggf. Datenschutz-Folgenabschätzung lassen sich darauf belastbar aufbauen.