Was sind personenbezogene Daten?

Worum geht's?

Wenn Sie als Unternehmer oder Webseitenbetreiber Daten Ihrer Nutzer verarbeiten, greift die Datenschutz Grundverordnung (DSGVO) – und damit müssen Sie zahlreiche Pflichten beachten. Aber schützt die DSGVO wirklich alle Informationen vor Missbrauch und unbefugtem Zugriff? Nein – es geht nur um den Schutz von sogenannten personenbezogenen Daten. Wann diese vorliegen und was Sie im Umgang mit personenbezogenen Daten konkret beachten müssen, haben wir hier für Sie verständlich zusammengestellt.

1. Personenbezogene Daten

Personenbezogene Daten nach Artikel 4 der DSGVO. sind Informationen, die direkt oder indirekt eine natürliche Person identifizieren. Sie betreffen nur Personen, keine Unternehmen oder Behörden.

Doch was bedeutet identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“)? Es geht immer um persönliche Daten von Personen und nicht um Informationen von Unternehmen oder Behörden. Und zwischen der Information und der (bestimmten oder bestimmbaren) natürlichen Person muss man eine Verbindung herstellen können.

Dabei gilt:

• Ob der Betroffene der Information tatsächlich zugeordnet wird – also identifiziert wird - , ist unerheblich.
• Es sind nur lebende Personen gemeint, die Daten von Verstorbenen sind nicht geschützt.
• Bei der Information kann es sich auch im Teilinformationen handeln, die gemeinsam zur Identifizierung der Person führen.
• Die Zuordnung kann unmittelbar oder auch mittelbar – also nur zusammen mit weiteren Informationen - möglich sein.

Für Unternehmen kann es unterschiedliche Gründe für die Datenerhebung geben. Beispielsweise wird zu Marketingzwecken ein Newsletter verschickt, für den die E-Mail-Adresse eines Kunden nötig ist oder ein Kundenprofil mit Name, Adresse und Bezahlinformationen kann auf der Webseite hinterlegt werden. All dies sind personenbezogene Daten, die dem Datenschutz unterliegen.

Sören SiebertRechtsanwalt

2. Was sind Beispiele für personenbezogene Daten nach der DSGVO?

Um einen kleinen Überblick zu erhalten, finden Sie im Folgenden für personenbezogene Daten einige Beispiele:

Allgemeine Personendaten:

• Name und Vorname
• eine Privatanschrift
• Telefonnummer
• eine E-Mail-Adresse wie vorname.nachname@unternehmen.com
• Geburtsdatum
• Alter

Kennnummern:

• Sozialversicherungsnummer
• Steueridentifikationsnummer
• Krankenversicherungsnummer
• Personalausweisnummer
• Matrikelnummer

Kontodaten:

• Kontonummern
• Online Kennung und Online PIN
• Kreditinformationen
• Kontostände

Online-Daten:

• IP Adresse
• Standortdaten (z. B. die Standortfunktion bei Mobiltelefonen)

Physische Merkmale:

• Geschlecht
• Haut-, Haar- und Augenfarbe
• Statur
• Kleidergröße

Besitzmerkmale:

• Fahrzeug- und Immobilieneigentum
• Grundbucheintragungen
• Kfz-Kennzeichen
• Zulassungsdaten

Kundendaten:

• Bestellungen
• Adressdaten
• Kontodaten

Werturteile:

• Schul- und Arbeitszeugnisse

Wenn Sie auf Ihrer Webseite personenbezogene Daten verarbeiten, benötigen Sie eine Datenschutzerklärung.

3. Was sind keine personenbezogenen Daten nach der DSGVO?

Liegen die Voraussetzungen der Definition nicht vor, liegen keine personenbezogenen Daten vor. Das klingt einfach. Doch es gibt zahlreiche Fälle, in denen auf den ersten Blick nicht so ganz klar ist, ob es sich nun um personenbezogene Daten handelt oder nicht. Was ist zum Beispiel, wenn die Informationen unkenntlich gemacht werden? Oder wenn die Mail-Adresse Tausenden von Personen zugeordnet werden kann?

Anonymisierte Daten

Im ersten Fall handelt es sich um sogenannte anonymisierte Daten. Das bedeutet: Sie heben den Bezug zu einer identifizierten oder identifizierbaren Person auf. In der Folge ist eine Re-Identifizierung praktisch nicht durchführbar. Ausreichend ist, dass der Personenbezug nur mit einem unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft wiederhergestellt werden kann. Im Fall der Anonymisierung liegen keine personenbezogenen Daten vor. Die Anonymisierung muss dazu unumkehrbar sein.
Beispiele:

• Löschen einer Kundennummer
• Politische Wahlen

Pseudonymisierte Daten

Von den anonymisierten Daten müssen Sie die pseudonymisierten Daten abgrenzen. In diesem Fall geben Sie einem Betroffenen ein Kennzeichen oder er benutzt dieses selbst. Das kann zum Beispiel ein Code in Form einer Kombination aus Zahlen und Buchstaben sein. Hierdurch ist die Wahrscheinlichkeit, dass persönliche Daten im Internet dieser Person zugeordnet werden können, so gering, dass sie ohne Kenntnis der jeweiligen Zuordnungsregel zwischen Kennzeichen und Person nach der Lebenserfahrung oder dem Stand der Wissenschaft praktisch ausscheidet.

Beispiel: Nickname in E-Mail

Sachdaten

Dann gibt es noch die Sachdaten. Diese sind schon nach der Definition keine personenbezogenen Daten, weil sich ihr Informationsgehalt, also die in der Information verkörperte Aussage, nicht auf eine Person, sondern einen Gegenstand bezieht. Anders ist es, wenn mit der Sachinformation gleichzeitig eine Aussage zur Person getroffen wird.

Beispiel: Standortdaten.

Diese beschreiben eigentlich nur einen Ort, an dem sich ein Smartphone o.ä. befindet. Der Nutzer des Smartphones trägt es aber in der Regel ständig mit sich herum, nutzt es sehr stark. Ein Personenbezug ist dann doch gegeben.

Informationen über juristische Personen wie Gesellschaften, Vereine und Stiftungen

Auch Informationen über juristische Personen wie Gesellschaften, Vereine und Stiftungen fallen nicht unter personenbezogenen Daten, weil sie sich nicht auf eine natürliche Person beziehen. Ausnahme: Die Angaben beziehen sich auch auf die hinter der juristischen Person stehenden Personen, auf die sie "durchschlagen".

Beispiel: GmbH einer Einzelperson oder Einzelfirma, wenn die natürliche Person mit der juristischen Person eng finanziell, persönlich oder wirtschaftlich verflochten ist.

Weitere Beispiele für nicht personenbezogene Daten:

• Handelsregisternummer
• E-Mail-Adresse wie info@unternehmen.com

4. Was sind besondere Kategorien personenbezogener Daten?

Dazu sagt Artikel 9 Absatz 1 DSGVO:

Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

Zu diesen Daten besonderer Kategorien gehören demnach:

• Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen,
• genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person,
• Gesundheitsdaten oder
• zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person

Artikel 4 Nr. 14 definiert "biometrische Daten": Diese sind mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten.

5. Wie sind personenbezogene Daten besonderer Kategorien geschützt?

Diese vertraulichen Daten benötigen und genießen einen besonderen Schutz. Die DSGVO spricht auch von besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO). Sie dürfen personenbezogene Daten besonderer Kategorien grundsätzlich nicht verarbeiten. Ausnahme: Die Person hat ausdrücklich ihre Einwilligung erteilt.

Es gibt weitere Ausnahmen, in denen Sie die die Daten auch ohne Einwilligung der betreffenden Person verarbeiten dürfen:

• Die Verarbeitung personenbezogener Daten ist (sinngemäß) erforderlich bzw. erfolgt,
• damit Sie oder die betroffene Person Ihre Rechte und Pflichten aus dem Arbeits- oder Sozialrecht wahrnehmen können,
• zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person und die betroffene Person kann aus körperlichen oder rechtlichen Gründen nicht einwilligen,
• weil eine bestimmte Organisation (z.B. politische oder religiöse) die Daten ohne Gewinnerzielungsabsicht zu internen Zwecken verarbeitet und der Betroffene einen Bezug zu der Organisation hat,
• weil die Person die Daten offensichtlich öffentlich gemacht hat,
• damit Rechtsansprüche geltend gemacht werden können,
• weil ein erhebliches öffentliches Interesse an der Verarbeitung personenbezogener Daten besteht,
• für Zwecke der Gesundheitsvorsorge o.ä.,
• aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren,
• für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke.

6. Datenschutz für personenbezogene Daten: Was muss ich beachten?

7. Sind auch personenbezogene Daten geschützt, wenn ich sie nur auf ein Papier schreibe?

Ja. Die DSGVO schützt personenbezogene Daten nicht nur, wenn Sie sie elektronisch speichern. Auch wenn Sie die Informationen beispielsweise mittels Videoüberwachung speichern oder mit einem Stift auf einem Zettel notieren, müssen Sie die DSGVO beachten. Die DSGVO ist also technologieneutral und gilt für die automatisierte wie die manuelle Verarbeitung, sofern persönliche Daten nach vorherbestimmten Kriterien (z. B. alphabetische Reihenfolge) geordnet sind.

8. Welche Rechte haben Betroffene, wenn ich ihre personenbezogenen Daten verarbeite?

Wenn Sie personenbezogene Daten verarbeiten, haben die Betroffenen (also Ihre Kunden oder Webseitenbesucher) bestimmte Rechte. Das sind im Wesentlichen:

1. Sie können Auskunft über die Informationen verlangen, welche Daten wie zu welchem Zweck  gespeichert oder verarbeitet werden.
2. Sie können verlangen, dass ihre unrichtigen Informationen berichtigt werden.
3. In bestimmten Fällen können sie die Löschung verlangen, z.B. wenn eine Einwilligung widerrufen werden soll.
4. Sie können die Korrektur oder Einschränkung der Daten verlangen, z.B. wenn diese Informationen nicht korrekt sind.
5. Sie können in bestimmten Fällen die Datenübertragbarkeit in einem gängigen Format an einen Dritten verlangen.