Personenbezogene Daten

Personenbezogene Daten sind nach Art. 4 Z 1 DSGVO alle Informationen über eine identifizierte oder identifizierbare natürliche Person. Der Begriff ist weit: Erfasst sein können etwa Name, E-Mail-Adresse, Kundennummer, Standortdaten, IP-Adresse, Cookie-Kennung, Foto, Bewerbungsunterlagen oder Angaben zu einer bestimmten Bestellung. Entscheidend ist der Bezug zu einer Person, nicht das Format der Information. Auch eine Kombination einzelner Angaben kann personenbezogen sein, wenn sie eine Person erkennen lässt.

Eine Person kann direkt oder indirekt identifizierbar sein. Dafür genügt nicht nur der Name. Maßgeblich sind die Mittel, deren Verwendung unter Berücksichtigung der verfügbaren Technologie, des Aufwands und der Umstände vernünftigerweise zu erwarten ist. Pseudonymisierte Daten bleiben daher personenbezogene Daten, wenn eine Zuordnung mit zusätzlichen Informationen möglich ist. Wirklich anonymisierte Informationen fallen dagegen nicht mehr darunter, wenn eine Person nicht oder nicht mehr identifizierbar ist.

Der Begriff betrifft nicht nur Daten von Kunden. Auch Beschäftigte, Bewerber, Lieferantenkontakte, Nutzer einer Website oder Gesellschafter können betroffene Personen sein. Angaben über ein Unternehmen als juristische Person sind für sich genommen keine personenbezogenen Daten. Bezieht sich die Information aber auf eine natürliche Person, etwa auf eine Einzelunternehmerin oder einen Geschäftsführer, kann die DSGVO wieder anwendbar sein. Besondere Kategorien wie Gesundheitsdaten oder biometrische Daten werden zusätzlich nach Art. 9 DSGVO geschützt.

Für Unternehmen ist deshalb zuerst zu klären, welche Daten in welchem Verarbeitungsvorgang auf welche Person bezogen werden können. Die Einordnung ist die Grundlage für die weiteren Fragen zu Zweck, Rechtsgrundlage, Zugriff, Aufbewahrung und Verantwortlichkeit. Einen ersten Überblick über die organisatorische Einordnung bietet der Bereich Compliance und Datenschutz-Governance; bei Dienstleistern hilft der Rollen-Check bei der ersten Orientierung.