Personenbezogene Daten

Personenbezogene Daten sind das Kernkonzept des gesamten europäischen Datenschutzrechts. Gemäß Art. 4 Nr. 1 DSGVO umfasst dieser Begriff alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person – die sogenannte betroffene Person – beziehen. Identifizierbar ist eine Person, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder einem oder mehreren besonderen Merkmalen ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität identifiziert werden kann.

Für die Praxis bedeutet dies: Der Begriff ist außerordentlich weit auszulegen. Klassische Beispiele sind Name, Adresse, Geburtsdatum, E-Mail-Adresse und Telefonnummer. Darüber hinaus fallen jedoch auch IP-Adressen, Cookie-IDs, Kfz-Kennzeichen, Fotos, biometrische Daten und selbst scheinbar harmlose Kombinationen einzelner Informationen unter den Begriff, sofern sie die Identifizierung einer Person ermöglichen. Daten juristischer Personen oder verstorbener Personen fallen grundsätzlich nicht unter die DSGVO.

Als Compliance Officer müssen Sie bei jeder neuen Verarbeitungstätigkeit als ersten Schritt prüfen, ob personenbezogene Daten im Spiel sind. Nur wenn dies bejaht wird, greifen alle weiteren DSGVO-Pflichten: die Aufnahme ins Verarbeitungsverzeichnis (Art. 30 DSGVO), die Prüfung der Rechtsgrundlage (Art. 6 DSGVO) und die Beachtung der Betroffenenrechte (Art. 15–21 DSGVO). Eine präzise Abgrenzung personenbezogener von anonymisierten Daten ist daher von erheblicher praktischer Bedeutung.