Was sind personenbezogene Daten?

Einfach erklärt

Personenbezogen ist jede Information, die sich einem bestimmten Menschen zuordnen lässt. Das ist mehr als Name und Anschrift. Auch eine Kundennummer, eine Handynummer, ein Foto oder ein Eintrag im Dienstplan gehört dazu, sobald sich mit vertretbarem Aufwand herausfinden lässt, wer gemeint ist. Man kann es sich wie einen Faden vorstellen: Führt er von der Information zu einer Person, gilt die Datenschutz-Grundverordnung (DSGVO).

Was das für Ihren Betrieb bedeutet

Fast jeder Betrieb verarbeitet solche Daten jeden Tag: Kundenkartei, Angebote, E-Mails, Lohnabrechnung, Bewerbungen, Zeiterfassung. Für alle gilt: Sie brauchen einen Grund für die Verarbeitung, speichern nur so viel wie nötig und schützen die Daten.

Besonders streng sind die Regeln für die sogenannten besonderen Kategorien: Gesundheit, Religion, Gewerkschaftszugehörigkeit, politische Meinung, ethnische Herkunft, genetische und biometrische Daten sowie Sexualleben. Solche Daten stecken oft an unerwarteter Stelle, etwa in der Krankmeldung oder in der Konfession, die für die Kirchensteuer in der Lohnabrechnung steht.

Was nicht darunter fällt

Daten über Ihre Firma als juristische Person, etwa Rechtsform oder Handelsregisternummer, schützt die DSGVO nicht. Bei Einzelunternehmern ist das anders, weil hinter dem Firmennamen ein Mensch steht. Auch die Adresse vorname.nachname@ihre-firma.de bezieht sich auf einen Menschen.

Wirklich anonyme Daten, die sich niemandem mehr zuordnen lassen, fallen ebenfalls nicht unter die DSGVO. Ersetzen Sie aber nur den Namen durch eine Nummer und heben die Zuordnung auf, bleiben die Daten für Sie personenbezogen.

Einordnung: Hier steht, was das Gesetz allgemein meint. Ob eine bestimmte Verarbeitung in Ihrem Betrieb erlaubt ist, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt.

Definition und Rechtsprechung

Art. 4 Nr. 1 DSGVO: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist, wer direkt oder indirekt bestimmt werden kann, etwa über Name, Kennnummer, Standortdaten oder eine Online-Kennung. Maßgeblich sind die Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden (Erwägungsgrund 26). Daten juristischer Personen sind nicht erfasst (Erwägungsgrund 14).

• Dynamische IP-Adressen sind für einen Websitebetreiber personenbezogen, wenn er rechtliche Mittel hat, den Anschlussinhaber über den Zugangsanbieter bestimmen zu lassen (EuGH, Urteil vom 19. Oktober 2016, C-582/14, Breyer).
• Pseudonymisierte Daten (Art. 4 Nr. 5) bleiben für den, der die Zuordnung kennt, personenbezogen. Für einen Empfänger, der die Personen mit vernünftigem Aufwand nicht bestimmen kann, sind sie nicht zwingend personenbezogen (EuGH, Urteil vom 4. September 2025, C-413/23 P, EDSB gegen SRB).

Besondere Kategorien nach Art. 9

Art. 9 Abs. 1 verbietet grundsätzlich die Verarbeitung von Daten zu rassischer und ethnischer Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Erlaubt ist sie nur mit einer Ausnahme nach Abs. 2, etwa einer ausdrücklichen Einwilligung (lit. a) oder für Pflichten aus Arbeitsrecht und sozialer Sicherheit (lit. b). Daten über Straftaten regelt Art. 10 gesondert.

Nach dem Kurzpapier Nr. 17 der Datenschutzkonferenz zählen auch mittelbare Angaben, etwa die Einnahme von Medikamenten. Fotos sind erst dann biometrische Daten, wenn sie mit speziellen technischen Mitteln zur eindeutigen Identifizierung verarbeitet werden.

Typische Fehler

• Hashwerte für anonym halten. Der Hash einer E-Mail-Adresse lässt sich durch Hashen bekannter Adressen zurückführen. Er ist ein Pseudonym.
• Logdateien übersehen. Webserver, Mailserver und Firewall speichern IP-Adressen und Benutzernamen. Auch dafür braucht es eine Speicherdauer.
• Geschäftliche Kontaktdaten ausnehmen. Name, Durchwahl und persönliche Mailadresse einer Ansprechpartnerin sind personenbezogen.
• Freitextfelder vergessen. Notizen im Ticketsystem oder CRM wie „krank bis Freitag“ enthalten Gesundheitsdaten.

Prüfen

Wie lange Webserver-Logs mit IP-Adressen liegen bleiben, zeigt die Rotation:

grep -E 'rotate|daily|weekly|maxage' /etc/logrotate.d/nginx
ls -l --time-style=long-iso /var/log/nginx/ | tail -n 3

Die gefundene Dauer gehört als Frist ins Verzeichnis von Verarbeitungstätigkeiten und ins Löschkonzept.