Betroffene Person

Als betroffene Person gilt im Datenschutzrecht die natürliche Person, auf die sich personenbezogene Daten beziehen. Es kommt nicht darauf an, ob die Person Kundin, Mitarbeiter, Bewerberin, Lieferant, Gesellschafter oder Nutzerin einer Website ist. Entscheidend ist, dass Informationen einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

Die Zuordnung kann unmittelbar oder mittelbar erfolgen. Ein Name ist dafür nicht erforderlich. Auch eine Kundennummer, eine Gerätekennung, Standortdaten, ein Foto oder die Kombination mehrerer Angaben kann eine Person bestimmbar machen. Pseudonymisierte Daten bleiben personenbezogene Daten, wenn zusätzliche Informationen eine Zuordnung ermöglichen. Erst anonymisierte Informationen fallen aus diesem Begriff heraus, wenn die Person nicht oder nicht mehr identifiziert werden kann.

Eine betroffene Person ist nicht dasselbe wie das Unternehmen, das die Daten verarbeitet. Eine juristische Person ist als solche keine betroffene Person. Bezieht sich eine Information aber auf einen Geschäftsführer, eine Einzelunternehmerin oder eine andere natürliche Person, kann sie personenbezogen sein. Für die betroffene Person können sich daraus Rechte nach der DSGVO ergeben, insbesondere auf transparente Information, Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung. Der Bereich Betroffenenrechte und Auskunft ordnet den Ablauf von Anträgen ein.

Für Unternehmen beginnt die Prüfung deshalb mit dem konkreten Verarbeitungsvorgang: Welche Personengruppen sind erfasst, welche Daten werden verwendet und wodurch bleibt eine Person identifizierbar? Diese Einordnung hilft, Informationspflichten, Zugriffsrechte, Aufbewahrung und die Rollenabgrenzung mit dem Rollen-Check sachgerecht zu prüfen. Eine abstrakte Bezeichnung wie „Kundendaten“ ersetzt die Zuordnung zu den tatsächlich betroffenen Personen nicht.