Personenbezogene Daten sind nach Artikel 4 Nummer 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, die in der Verordnung als „betroffene Person“ bezeichnet wird.
Auf einen Blick
Als identifizierbar gilt eine natürliche Person, die direkt oder indirekt identifiziert werden kann, etwa mittels Zuordnung zu einer Kennung wie einem Namen oder einer Kennnummer.
Pseudonymisierte Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten nach Erwägungsgrund 26 als Informationen über eine identifizierbare natürliche Person betrachtet werden; anonyme Informationen beziehen sich nicht auf eine identifizierte oder identifizierbare natürliche Person.
Für Gesundheitsdaten als besondere Kategorie gilt das Verbot nach Art. 9 Abs. 1 DSGVO, Absatz 2 nennt Ausnahmen.
Was ist Personenbezogene Daten?
Der Begriff der personenbezogenen Daten knüpft an eine Person an: Eine Information zählt dazu, wenn sie sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser Person sind, identifiziert werden kann. Das Wort „insbesondere“ zeigt in Art. 4 Nr. 1 DSGVO, dass die genannten Kennungen kein abgeschlossener Katalog sind.
Um festzustellen, ob eine Person identifizierbar ist, sollten nach Erwägungsgrund 26 der DSGVO alle Mittel berücksichtigt werden, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, um sie direkt oder indirekt zu identifizieren. Verarbeitet ein Versicherer Name, Adresse und Gesundheitsinformationen aus einem Antrag, sind das personenbezogene Daten, denn sie beziehen sich auf eine identifizierte oder identifizierbare natürliche Person. Online-Kennungen wie IP-Adressen und Cookie-Kennungen werden einer natürlichen Person unter Umständen zugeordnet.
Personenbezogene Daten: Wann gelten Informationen als personenbezogen?
Der Personenbezug einer Information zeigt sich daran, dass sie sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden. Nach Erwägungsgrund 26 sollten die Grundsätze des Datenschutzes nicht für anonyme Informationen und nicht für personenbezogene Daten gelten, die so anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann.
Der Grundsatz „Integrität und Vertraulichkeit“ in Art. 5 Abs. 1 Buchstabe f DSGVO verlangt eine Verarbeitung, die durch geeignete technische und organisatorische Maßnahmen eine angemessene Sicherheit gewährleistet. Bei einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen; erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen.
Personenbezogene Daten im Vergleich
| Kriterium | Personenbezogene Daten | Sensible Daten (besondere Kategorien) | Anonymisierte und pseudonymisierte Daten |
|---|---|---|---|
| Gegenstand | Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). | Personenbezogene Daten, aus denen rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung (Art. 9 Abs. 1 DSGVO). | Pseudonymisierte Daten, die durch zusätzliche Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare Person betrachtet werden; anonyme Informationen beziehen sich nicht auf eine identifizierte oder identifizierbare natürliche Person (Erwägungsgrund 26). |
| Schutzgedanke | Geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und weiterer Umstände (Art. 32 DSGVO). | Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz (Erwägungsgrund 51). | Pseudonymisierte Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden; die Grundsätze des Datenschutzes sollten dagegen nicht für anonyme Informationen gelten und nicht für personenbezogene Daten, die so anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann (Erwägungsgrund 26). |
| Beispiel Gesundheit | Gesundheitsdaten sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen (Art. 4 Nr. 15 DSGVO). | Gesundheitsdaten gehören zu den in Art. 9 Abs. 1 DSGVO genannten Daten, deren Verarbeitung dort untersagt ist; Absatz 2 nennt Ausnahmen. | Für Gesundheitsdaten, die so anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann, sollten die Grundsätze des Datenschutzes nach Erwägungsgrund 26 nicht gelten; nach dem BfDI ist Anonymisierung ein Vorgang, der darauf gerichtet ist, den Personenbezug von Daten aufzuheben. |
Personenbezogene Daten erkennen: Wann ist eine Person identifizierbar?
| Merkmal | Worauf es ankommt |
|---|---|
| Information mit Personenbezug | Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). |
| Identifizierbarkeit | Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann; „insbesondere“ macht die Aufzählung nicht abschließend (Art. 4 Nr. 1 DSGVO). |
| Mittel der Identifizierung | Berücksichtigt werden sollten alle Mittel, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern (Erwägungsgrund 26 der DSGVO). |
| Objektive Faktoren | Herangezogen werden sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind (Erwägungsgrund 26 der DSGVO). |
| Online-Kennungen | Natürlichen Personen werden unter Umständen Online-Kennungen wie IP-Adressen und Cookie-Kennungen zugeordnet, die ihr Gerät oder Software-Anwendungen und -Tools oder Protokolle liefern (Erwägungsgrund 30 der DSGVO). |
Schutz im Ernstfall
Vorbeugen
- Nach Art. 32 DSGVO treffen der Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
- Nach dem Grundsatz „Integrität und Vertraulichkeit“ (Art. 5 Abs. 1 Buchstabe f DSGVO) müssen personenbezogene Daten in einer Weise verarbeitet werden, die durch geeignete technische und organisatorische Maßnahmen eine angemessene Sicherheit gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung.
- Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO setzt voraus, dass die zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.
Beispiele aus der Praxis
- Nach Darstellung des BfDI können dynamische IP-Adressen der Besucher einer Website für deren Betreiber personenbezogene Daten darstellen, wenn für diesen die rechtliche Möglichkeit besteht, über weitergehende Informationen die Identität des Nutzers bestimmen zu lassen.
- Ein Unternehmen ersetzt in einer Auswertung Namen durch Kennungen, bewahrt die zusätzlichen Informationen gesondert auf und unterwirft sie technischen und organisatorischen Maßnahmen; solche pseudonymisierten Daten sollten nach Erwägungsgrund 26 als Informationen über eine identifizierbare natürliche Person betrachtet werden, soweit sie durch zusätzliche Informationen zugeordnet werden könnten.
- Gesundheitsdaten eines Patienten sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit der Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen (Art. 4 Nr. 15 DSGVO).
- Ein Versicherer erhält einen Antrag mit Name, Adresse und Gesundheitsinformationen der antragstellenden Person; diese Angaben beziehen sich auf eine identifizierte natürliche Person und sind damit personenbezogene Daten.
