Was sind personenbezogene Daten?
Stand: 11.06.2019
Das ist die Frage, die sich beim Datenschutz immer zuerst stellt. Denn erst dann, wenn man es mit personenbezogenen Daten zu tun hat, stellen sich Fragen nach der Zulässigkeit der Datenerhebung oder deren Verarbeitung. Bei der Frage, welche Daten als personenbezogen gelten, ist eine pauschale Antwort nicht möglich. Vielmehr kommt es auf den Einzelfall an. Es kann vorkommen, dass einzelne Daten in einem Fall nicht personenbezogen sind, in einem anderen Fall jedoch durch die Kombination aus verschiedenen Daten ein Personenbezug möglich ist.
Definition "personenbezogene Daten"
In Artikel 4 Nr. 1 der Datenschutz-Grundverordnung (DS-GVO) heißt es:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
Da die Verordnung selbst unmittelbar geltendes Recht darstellt, dieses also keines Umsetzungsaktes mehr bedarf, sehen bspw. sowohl das BDSG als auch das baden-württembergische Landesdatenschutzgesetz (LDSG BW) in den Fassungen nach Geltung der DS-GVO keine Begriffsdefinition mehr vor.
Damit sind alle Informationen umfasst, die über eine Person etwas aussagen. Diese Informationen müssen sich nicht zwingend auf eine bestimmte Person beziehen (wie bspw. beim Namen oder einem Foto des Betroffenen), ausreichend ist vielmehr, dass zu der jeweiligen Person ein Bezug hergestellt werden kann. So können - zumindest bei entsprechendem Zusatzwissen - auch Telefonnummer, Matrikelnummern, Sozialversicherungsnummern, persönlich zugeteilte Berechtigungskennzeichen und IP-Adressen personenbeziehbare und damit datenschutzrelevante Informationen sein.
davon, dass es keine "belanglosen" Daten gibt. Damit ist beispielsweise die Telefonnummer nicht minder schützenswert als die Haarfarbe.Diese Aussage hat auch unter Geltung der DS-GVO inhaltlich Bestand.
Es gibt auch keine „wahren“ oder „unwahren“ personenbezogenen Daten. Falls eine Auswertung des Kaufverhaltens (Beispiel: Wegfall des Kaufs von entsprechenden Hygieneartikeln bei Käuferinnen im gebärfähigem Alter) bspw. in der Kundendatei zum Merkmal „schwanger“ führt, stellt dieses Merkmal ein personenbezogenes Datum dar, auch wenn die Kundin gar nicht schwanger ist.
Die gesetzliche Definition spricht von Daten "natürlicher Personen". Damit wird zugleich ausgesagt, dass der Schutz der Datenschutzgesetze mit dem Tod endet. Es greift dann jedoch das postmortale Persönlichkeitsrecht, das den Schutz der Daten Verstorbener in gewissem Umfang beinhaltet. Für die genaue Ausgestaltung kommt es auf den Einzelfall an, in dem für die weitere Auslegung wiederum auf die Datenschutzgesetze zurückgegriffen werden kann.
Beispiele personenbezogener Daten
Personenbezogene Daten können beispielsweise Adressdaten und Erreichbarkeitsdaten oder auch folgende Daten sein:
- Name und Adresse
- E-Mailadresse / Internet-Adresse
- Personalausweisnummer
- IP-Adresse
- Weitere Einzelangaben, wie z. B. (Einzelangaben, wie z. B. Geschlecht, Titel, Größe, Haarfarbe, Telefonnummer, Kontodaten, Aufzeichnung der Arbeitszeiten, Standortdaten, Kfz-Kennzeichen, Audio-Aufnahmen der Stimme, Foto, Antworten eines Prüflings und Anmerkungen des Prüfers hierzu, Meinungen und Beurteilungen seitens des Betroffenen und über den Betroffenen (z. B. über dessen Kreditwürdigkeit, dessen sexueller Ausrichtung, dessen Arbeitsleistung).
Auch wenn ein einzelnes Datum keinen Rückschluss auf eine identifizierbare Person zulässt, kann dies sehr wohl durch eine Ansammlung von Daten möglich sein (z.B. verschiedene soziodemographische Daten bei einer wissenschaftlichen Umfrage).
Besondere Kategorien personenbezogener Daten
Neben den oben genannten Daten sieht die DS-GVO für besonders sensible Daten in Artikel 9 einen weitergehenden Schutz vor. Diese Daten nennt das Gesetz besondere Kategorien personenbezogener Daten.
Unter diese Gruppe der personenbezogenen Daten fallen:
- rassische und ethnische Herkunft
- politische Meinungen
- religiöse oder weltanschauliche Überzeugungen
- Gewerkschaftszugehörigkeit
- Angaben zur Gesundheit, sowie genetische und biometrische Daten, die zu einer eindeutigen Identifikation einer natürlichen Person führen
- Angaben zum Sexualleben oder zur sexuellen Orientierung