Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Entscheidend ist nicht, ob ein Feld wie „Name“ heißt, sondern ob eine Person mit den verfügbaren Mitteln direkt oder indirekt herausgefunden werden kann. Für diesen Begriff ist vor allem die Datenschutz-Grundverordnung (DSGVO) im EU-/EWR-Kontext maßgeblich. Sie schützt natürliche Personen, nicht Unternehmen oder andere Organisationen als solche.
Ein Datensatz wird nicht erst dann personenbezogen, wenn er einen vollständigen Namen enthält. Schon eine Kundennummer, eine Gerätekennung oder die Kombination aus wenigen Angaben kann eine Person beschreibbar oder wiedererkennbar machen. Ob eine Identifizierung realistisch möglich ist, hängt vom Kontext ab: Wer kann auf welche zusätzlichen Informationen zugreifen, welchen Aufwand würde eine Zuordnung erfordern und ist sie rechtlich oder praktisch erreichbar?
Die DSGVO fasst den Begriff deshalb weit. Artikel 4 Absatz 1 nennt als Beispiele unter anderem Namen, Kennnummern, Standortdaten und Online-Kennungen. Diese Beispiele sind keine abschließende Liste. Auch eine Aufnahme, ein Nutzungsprotokoll oder Angaben zu einer beruflichen Rolle können personenbezogen sein, wenn sie sich auf eine natürliche Person beziehen und eine Identifizierung erlauben. Die Rechtsgrundlage selbst ist in der konsolidierten Fassung der DSGVO bei EUR-Lex nachlesbar.
Für die Einordnung helfen drei Fragen. Erstens: Bezieht sich die Information auf einen Menschen, etwa weil sie ihn beschreibt, bewertet oder mit ihm verknüpft ist? Zweitens: Ist diese Person bereits identifiziert, beispielsweise durch einen Namen oder eine eindeutige Kundennummer? Drittens: Falls nicht, ist sie identifizierbar – unmittelbar oder über eine Verbindung mit weiteren Informationen?
Die Antwort ergibt sich nicht allein aus einem einzelnen Datenfeld. Eine Postleitzahl kann in einer großen Auswertung wenig aussagekräftig sein; zusammen mit Alter, Arbeitsort und seltenen Merkmalen kann sie jedoch eine Zuordnung erleichtern. Umgekehrt ist eine Information über eine juristische Person nicht allein deshalb personenbezogen, weil sie in einem IT-System gespeichert wird. Relevant wird sie, wenn sie zugleich eine natürliche Person erkennen lässt, etwa eine Einzelperson hinter einer geschäftlichen E-Mail-Adresse.
Daraus folgt auch ein wichtiger Unterschied: Pseudonymisierte Daten bleiben im Regelfall personenbezogene Daten, wenn eine Zuordnung mit getrennt gehaltenen Zusatzinformationen möglich ist. Bei anonymisierten Daten ist eine Person dagegen nicht mehr identifizierbar. Ob eine Anonymisierung tatsächlich trägt, ist eine Frage des konkreten Verfahrens und des Umfelds; das bloße Entfernen eines Namens genügt dafür nicht automatisch.
Ein Online-Shop speichert Bestellnummer, Lieferadresse, gekaufte Artikel und den Zeitpunkt einer Bestellung. Die Lieferadresse verweist unmittelbar auf eine Person. Auch eine Bestellnummer kann personenbezogen sein, wenn der Shop sie einem Kundenkonto zuordnen kann. Wird dieselbe Nummer für eine Statistik ohne Zugriff auf die Zuordnungstabelle verwendet, ändert das nicht zwingend ihren Charakter im Gesamtzusammenhang.
Ein Cookie oder eine vergleichbare Online-Kennung kann ebenfalls die Wiedererkennung eines Browsers oder Nutzers ermöglichen. Ob und welche zusätzlichen Pflichten daraus folgen, richtet sich nicht nur nach der Art der Kennung, sondern auch nach dem jeweiligen Verarbeitungsvorgang und dem anwendbaren Recht.
Die Einordnung setzt den Rahmen für Datenschutzarbeit. Organisationen müssen vor einer Verarbeitung klären, welche Informationen sie verarbeiten, zu welchem Zweck, auf welcher Grundlage und wie lange sie benötigt werden. Daraus können Anforderungen an Transparenz, Zugriffsrechte, Sicherheit und die Gestaltung von Verfahren entstehen. Für Betroffene ist die Einordnung wichtig, weil sich ihre Rechte auf Auskunft, Berichtigung oder Löschung auf Informationen über sie beziehen.
Die DSGVO ist Teil des unionsrechtlichen Datenschutzrahmens. Die Europäische Kommission nennt daneben die Richtlinie für Strafverfolgungszwecke und die Datenschutzregelung für EU-Organe als weitere Bausteine. Die Begriffsbestimmung sollte daher nicht losgelöst vom jeweiligen Rechtsrahmen gelesen werden. Einen Überblick bietet die Europäische Kommission. Praktisch ersetzen solche allgemeinen Hinweise keine Prüfung eines konkreten Falls.
In der Praxis beginnt eine belastbare Einordnung mit einer Dateninventur: Welche Felder, Protokolle, Dateien und Schnittstellen enthalten Informationen mit Personenbezug? Danach sollte getrennt betrachtet werden, wer die Daten sehen kann, ob sich einzelne Datenbestände verknüpfen lassen und welcher Zweck die Verarbeitung trägt. Das ist keine bloße Formalität. Sie hilft, Daten nicht versehentlich als unkritisch zu behandeln, nur weil in einer Tabelle kein Klarname steht. Zugleich verhindert sie die umgekehrte Fehlannahme, jede technische Angabe sei automatisch ein personenbezogenes Datum.
„Öffentlich zugänglich“ bedeutet nicht „kein Datenschutz“. Eine öffentlich sichtbare Profilangabe kann weiterhin personenbezogen sein. Ebenso ist „digital“ keine Voraussetzung: Auch strukturierte Papierunterlagen können in den sachlichen Anwendungsbereich der DSGVO fallen, während rein persönliche oder familiäre Tätigkeiten unter bestimmten Voraussetzungen ausgenommen sind.
Umgekehrt ist nicht jede Information über ein Unternehmen ein personenbezogenes Datum. Die Grenze verläuft beim Bezug zu einer natürlichen Person und ihrer Identifizierbarkeit. Eine Liste möglicher Datenarten kann diese Prüfung nur unterstützen, aber nie ersetzen. Bei rechtlichen Entscheidungen, insbesondere bei besonderen Verarbeitungssituationen, ist fachkundige Beratung erforderlich.
Anonymisierung beschreibt einen Zustand oder ein Verfahren, bei dem Personen nicht mehr identifizierbar sind. Pseudonymisierung ersetzt oder trennt identifizierende Angaben, lässt aber eine Zuordnung unter bestimmten Bedingungen weiterhin zu. Datenschutz-Grundverordnung ist das Regelwerk, das unter anderem die Verarbeitung personenbezogener Daten im EU-/EWR-Kontext ordnet; der Begriff personenbezogene Daten bezeichnet dagegen den Gegenstand, auf den sich diese Regeln beziehen.