Personenbezogene Daten
Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).
Definition
Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (“betroffene Person”) beziehen. Identifizierbar ist eine Person, die direkt oder indirekt — über eine Kennung wie Name, Personennummer, Standortdaten, Online-Kennung oder ein oder mehrere besondere Merkmale — bestimmt werden kann.
Der Begriff ist absichtlich weit gefasst. Im Zweifel: lieber als personenbezogen behandeln.
In der Praxis
Personenbezogene Daten sind unter anderem:
- Name, Anschrift, Telefonnummer, E-Mail-Adresse
- IP-Adresse (laut EuGH grundsätzlich personenbezogen)
- Geburtsdatum, Alter (in Kombination mit anderen Daten)
- Kundennummern, Bewerbernummern
- Standortdaten von Smartphones
- Cookies, Online-Tracking-IDs, Fingerprint-Hashes
- Foto und Videoaufnahmen mit erkennbaren Personen
- Stimme in Telefonaufzeichnungen
- KFZ-Kennzeichen
- Stamm- und Bewegungsdaten in CRM-Systemen
- IBAN, Steuer-ID, SV-Nummer
Besonders sensible personenbezogene Daten sind die “besonderen Datenkategorien” nach Art. 9 DSGVO — Gesundheit, Religion, etc.
Nicht personenbezogen (und damit nicht DSGVO-pflichtig) sind:
- Vollständig anonymisierte Daten (unwiederbringlich)
- Daten von Verstorbenen (Ausnahmen bei BDSG / Länderrecht möglich)
- Reine Sachdaten ohne Personenbezug
Pseudonymisierte Daten gelten weiterhin als personenbezogen!
Was Sie tun müssen
Im Unternehmen:
- Bestandsaufnahme: Welche Daten verarbeiten Sie überhaupt? Welche sind personenbezogen?
- Im Verarbeitungsverzeichnis je Verarbeitungstätigkeit die Datenkategorien dokumentieren
- Rechtsgrundlage nach Art. 6 DSGVO bestimmen
- Besondere Datenkategorien gesondert behandeln (strengere TOMs, Doppel-Rechtsgrundlage)
- Datenminimierung: Nur die Daten erheben, die wirklich gebraucht werden
- Mitarbeiter sensibilisieren: Was ist überhaupt personenbezogen?
Im Erstaudit bei Kowoll wird systematisch durchgegangen, welche Daten Sie tatsächlich verarbeiten — oft ist die Liste länger als gedacht. Bestandteil des Aufbau-Pakets, siehe Leistungen und Kostenmodelle.