Definition
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine identifizierbare Person ist eine Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann. Diese Definition ist maßgeblich im Datenschutzrecht, insbesondere in der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union geregelt.
Der Begriff umfasst sowohl offensichtliche Daten wie Name, Adresse oder Geburtsdatum als auch weniger offensichtliche Informationen wie IP-Adressen, Cookies oder biometrische Daten. Entscheidend ist, dass die Daten eine Person eindeutig oder mit vertretbarem Aufwand identifizierbar machen. Daten, die anonymisiert sind und keine Rückschlüsse auf eine Person zulassen, gelten nicht als personenbezogen.
Was bedeutet das für Ihr Unternehmen?
Personenbezogene Daten fallen in fast jedem Betrieb an, nicht nur in der Kundendatei: Auch IP-Adressen in Server-Logs, Kontaktformulare, Bewerbermails und Fotos auf der Website gehören dazu. Jeder Dienst, der solche Daten in Ihrem Auftrag verarbeitet, braucht einen Auftragsverarbeitungsvertrag und einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten. Ein guter Startpunkt ist eine Liste aller Werkzeuge, in die Kundendaten fließen, vom Newsletter-Tool bis zur KI-Anwendung.
Rechtlicher Hintergrund
Die rechtliche Grundlage für den Schutz personenbezogener Daten bildet in der Europäischen Union die Datenschutz-Grundverordnung (DSGVO), die im Mai 2018 in Kraft trat. Die DSGVO definiert personenbezogene Daten und legt fest, unter welchen Bedingungen diese Daten verarbeitet werden dürfen. Ziel ist es, die Privatsphäre von Personen zu schützen und den freien Datenverkehr innerhalb des Binnenmarkts zu gewährleisten.
Neben der DSGVO gibt es nationale Datenschutzgesetze, die ergänzend wirken, wie das Bundesdatenschutzgesetz (BDSG) in Deutschland. Diese Gesetze regeln detailliert die Rechte der Betroffenen, die Pflichten der Datenverarbeiter und die Sanktionen bei Verstößen. Die Definition personenbezogener Daten ist dabei zentral, da sie den Anwendungsbereich der Datenschutzvorschriften bestimmt.
Arten personenbezogener Daten
Personenbezogene Daten lassen sich in verschiedene Kategorien unterteilen. Zu den allgemeinen personenbezogenen Daten zählen beispielsweise Name, Anschrift, Telefonnummer oder E-Mail-Adresse. Diese Daten sind häufig Grundlage für die Identifikation einer Person im Alltag oder in Geschäftsprozessen.
Eine besondere Kategorie sind die sogenannten besonderen personenbezogenen Daten, auch als sensible Daten bezeichnet. Dazu gehören Informationen über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheitsdaten, sexuelle Orientierung oder genetische und biometrische Daten. Diese Daten unterliegen strengeren Schutzvorschriften, da sie ein höheres Risiko für die betroffene Person darstellen.
Erhebung und Verarbeitung
Die Erhebung personenbezogener Daten erfolgt in vielen Bereichen, etwa durch Unternehmen, Behörden oder soziale Netzwerke. Dabei können die Daten direkt vom Betroffenen erhoben werden, zum Beispiel durch Ausfüllen eines Formulars, oder indirekt, etwa durch Tracking-Technologien im Internet. Die Verarbeitung umfasst jegliche Tätigkeit mit personenbezogenen Daten, wie das Speichern, Verändern, Übermitteln oder Löschen.
Die DSGVO schreibt vor, dass personenbezogene Daten nur rechtmäßig, nach Treu und Glauben und transparent verarbeitet werden dürfen. Zudem müssen die Daten zweckgebunden und auf das notwendige Maß beschränkt sein. Betroffene Personen haben Rechte wie Auskunft, Berichtigung, Löschung und Widerspruch, die die Kontrolle über ihre Daten stärken sollen.
Abgrenzung zu verwandten Begriffen
Personenbezogene Daten sind von anonymisierten Daten zu unterscheiden. Anonymisierte Daten enthalten keine Informationen, die eine Identifikation der Person ermöglichen, selbst wenn sie mit anderen Daten kombiniert werden. Daher unterliegen anonymisierte Daten nicht den Datenschutzvorschriften der DSGVO.
Ein weiterer verwandter Begriff sind pseudonymisierte Daten. Hierbei werden personenbezogene Daten so verarbeitet, dass sie ohne zusätzliche Informationen nicht mehr einer spezifischen Person zugeordnet werden können. Pseudonymisierung reduziert das Risiko bei der Datenverarbeitung, gilt jedoch weiterhin als personenbezogene Daten und unterliegt somit den Datenschutzregeln.