Der Begriff der personenbezogenen Daten kn\u00fcpft an eine Person an: Eine Information z\u00e4hlt dazu, wenn sie sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person bezieht. Als identifizierbar wird eine nat\u00fcrliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung<\/strong> wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identit\u00e4t dieser Person sind, identifiziert werden kann. Das Wort \u201einsbesondere\u201c zeigt in Art. 4 Nr. 1 DSGVO, dass die genannten Kennungen kein abgeschlossener Katalog sind.<\/p>\n
Um festzustellen, ob eine Person identifizierbar ist, sollten nach Erw\u00e4gungsgrund 26 der DSGVO alle Mittel ber\u00fccksichtigt werden, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich<\/strong> nutzt, um sie direkt oder indirekt zu identifizieren. Verarbeitet ein Versicherer Name, Adresse und Gesundheitsinformationen aus einem Antrag, sind das personenbezogene Daten, denn sie beziehen sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person. Online-Kennungen wie IP-Adressen und Cookie-Kennungen werden einer nat\u00fcrlichen Person unter Umst\u00e4nden zugeordnet.<\/p>\n
Personenbezogene Daten: Wann gelten Informationen als personenbezogen?<\/h2>\n
Der Personenbezug einer Information zeigt sich daran, dass sie sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person bezieht. Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zus\u00e4tzlicher Informationen<\/strong> einer nat\u00fcrlichen Person zugeordnet werden k\u00f6nnten, sollten als Informationen \u00fcber eine identifizierbare nat\u00fcrliche Person betrachtet werden. Nach Erw\u00e4gungsgrund 26 sollten die Grunds\u00e4tze des Datenschutzes nicht f\u00fcr anonyme Informationen und nicht f\u00fcr personenbezogene Daten gelten, die so anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann.<\/p>\n
Der Grundsatz \u201eIntegrit\u00e4t und Vertraulichkeit\u201c in Art. 5 Abs. 1 Buchstabe f DSGVO verlangt eine Verarbeitung, die durch geeignete technische und organisatorische Ma\u00dfnahmen<\/strong> eine angemessene Sicherheit gew\u00e4hrleistet. Bei einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche nach Art. 33 Abs. 1 DSGVO unverz\u00fcglich und m\u00f6glichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zust\u00e4ndigen Aufsichtsbeh\u00f6rde, es sei denn, die Verletzung f\u00fchrt voraussichtlich nicht zu einem Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen; erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begr\u00fcndung f\u00fcr die Verz\u00f6gerung beizuf\u00fcgen.<\/p>\n
Personenbezogene Daten im Vergleich<\/h2>\n
\n\n
\n
Kriterium<\/th>\n
Personenbezogene Daten<\/th>\n
Sensible Daten (besondere Kategorien)<\/th>\n
Anonymisierte und pseudonymisierte Daten<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Gegenstand<\/td>\n
Alle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person beziehen (Art. 4 Nr. 1 DSGVO).<\/td>\n
Personenbezogene Daten, aus denen rassische und ethnische Herkunft, politische Meinungen, religi\u00f6se oder weltanschauliche \u00dcberzeugungen oder die Gewerkschaftszugeh\u00f6rigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer nat\u00fcrlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung (Art. 9 Abs. 1 DSGVO).<\/td>\n
Pseudonymisierte Daten, die durch zus\u00e4tzliche Informationen einer nat\u00fcrlichen Person zugeordnet werden k\u00f6nnten, sollten als Informationen \u00fcber eine identifizierbare Person betrachtet werden; anonyme Informationen beziehen sich nicht auf eine identifizierte oder identifizierbare nat\u00fcrliche Person (Erw\u00e4gungsgrund 26).<\/td>\n<\/tr>\n
\n
Schutzgedanke<\/td>\n
Geeignete technische und organisatorische Ma\u00dfnahmen, um ein dem Risiko angemessenes Schutzniveau zu gew\u00e4hrleisten, unter Ber\u00fccksichtigung des Stands der Technik, der Implementierungskosten und weiterer Umst\u00e4nde (Art. 32 DSGVO).<\/td>\n
Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz (Erw\u00e4gungsgrund 51).<\/td>\n
Pseudonymisierte Daten, die durch Heranziehung zus\u00e4tzlicher Informationen einer nat\u00fcrlichen Person zugeordnet werden k\u00f6nnten, sollten als Informationen \u00fcber eine identifizierbare nat\u00fcrliche Person betrachtet werden; die Grunds\u00e4tze des Datenschutzes sollten dagegen nicht f\u00fcr anonyme Informationen gelten und nicht f\u00fcr personenbezogene Daten, die so anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann (Erw\u00e4gungsgrund 26).<\/td>\n<\/tr>\n
\n
Beispiel Gesundheit<\/td>\n
Gesundheitsdaten sind personenbezogene Daten, die sich auf die k\u00f6rperliche oder geistige Gesundheit einer nat\u00fcrlichen Person, einschlie\u00dflich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen \u00fcber deren Gesundheitszustand hervorgehen (Art. 4 Nr. 15 DSGVO).<\/td>\n
Gesundheitsdaten geh\u00f6ren zu den in Art. 9 Abs. 1 DSGVO genannten Daten, deren Verarbeitung dort untersagt ist; Absatz 2 nennt Ausnahmen.<\/td>\n
F\u00fcr Gesundheitsdaten, die so anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann, sollten die Grunds\u00e4tze des Datenschutzes nach Erw\u00e4gungsgrund 26 nicht gelten; nach dem BfDI ist Anonymisierung ein Vorgang, der darauf gerichtet ist, den Personenbezug von Daten aufzuheben.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Personenbezogene Daten erkennen: Wann ist eine Person identifizierbar?<\/h2>\n
\n\n
\n
Merkmal<\/th>\n
Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Information mit Personenbezug<\/td>\n
Alle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person beziehen (Art. 4 Nr. 1 DSGVO).<\/td>\n<\/tr>\n
\n
Identifizierbarkeit<\/td>\n
Als identifizierbar wird eine nat\u00fcrliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann; \u201einsbesondere\u201c macht die Aufz\u00e4hlung nicht abschlie\u00dfend (Art. 4 Nr. 1 DSGVO).<\/td>\n<\/tr>\n
\n
Mittel der Identifizierung<\/td>\n
Ber\u00fccksichtigt werden sollten alle Mittel, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt, um die nat\u00fcrliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern (Erw\u00e4gungsgrund 26 der DSGVO).<\/td>\n<\/tr>\n
\n
Objektive Faktoren<\/td>\n
Herangezogen werden sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der daf\u00fcr erforderliche Zeitaufwand, wobei die zum Zeitpunkt der Verarbeitung verf\u00fcgbare Technologie und technologische Entwicklungen zu ber\u00fccksichtigen sind (Erw\u00e4gungsgrund 26 der DSGVO).<\/td>\n<\/tr>\n
\n
Online-Kennungen<\/td>\n
Nat\u00fcrlichen Personen werden unter Umst\u00e4nden Online-Kennungen wie IP-Adressen und Cookie-Kennungen zugeordnet, die ihr Ger\u00e4t oder Software-Anwendungen und -Tools oder Protokolle liefern (Erw\u00e4gungsgrund 30 der DSGVO).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Nach Art. 32 DSGVO treffen der Verantwortliche und der Auftragsverarbeiter unter Ber\u00fccksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umst\u00e4nde und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen geeignete technische und organisatorische Ma\u00dfnahmen, um ein dem Risiko angemessenes Schutzniveau zu gew\u00e4hrleisten.<\/li>\n
Nach dem Grundsatz \u201eIntegrit\u00e4t und Vertraulichkeit\u201c (Art. 5 Abs. 1 Buchstabe f DSGVO) m\u00fcssen personenbezogene Daten in einer Weise verarbeitet werden, die durch geeignete technische und organisatorische Ma\u00dfnahmen eine angemessene Sicherheit gew\u00e4hrleistet, einschlie\u00dflich Schutz vor unbefugter oder unrechtm\u00e4\u00dfiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerst\u00f6rung oder unbeabsichtigter Sch\u00e4digung.<\/li>\n
Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO setzt voraus, dass die zus\u00e4tzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Ma\u00dfnahmen unterliegen, die gew\u00e4hrleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren nat\u00fcrlichen Person zugewiesen werden.<\/li>\n<\/ul>\n
KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,406,405],"class_list":["post-33847","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-dsgvo-datenschutz","glossary_intl_topic-datenschutz-datensicherheit"],"acf":{"card_description":"Personenbezogene Daten sind Informationen zu einer identifizierten oder identifizierbaren nat\u00fcrlichen Person (Artikel 4 Nummer 1 DSGVO).","nav_theme":"Datenschutz & Datensicherheit","nav_subtheme":"DSGVO & Datenschutz","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Personal Data"},{"value":"Personenbezogenes Datum"}],"lead_definition":"Personenbezogene Daten sind nach Artikel 4 Nummer 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person beziehen, die in der Verordnung als \u201ebetroffene Person\u201c bezeichnet wird.","at_a_glance":[{"bullet":"Als identifizierbar gilt eine nat\u00fcrliche Person, die direkt oder indirekt identifiziert werden kann, etwa mittels Zuordnung zu einer Kennung wie einem Namen oder einer Kennnummer."},{"bullet":"Pseudonymisierte Daten, die durch Heranziehung zus\u00e4tzlicher Informationen einer nat\u00fcrlichen Person zugeordnet werden k\u00f6nnten, sollten nach Erw\u00e4gungsgrund 26 als Informationen \u00fcber eine identifizierbare nat\u00fcrliche Person betrachtet werden; anonyme Informationen beziehen sich nicht auf eine identifizierte oder identifizierbare nat\u00fcrliche Person."},{"bullet":"F\u00fcr Gesundheitsdaten als besondere Kategorie gilt das Verbot nach Art. 9 Abs. 1 DSGVO, Absatz 2 nennt Ausnahmen."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Nach Darstellung des BfDI k\u00f6nnen dynamische IP-Adressen der Besucher einer Website f\u00fcr deren Betreiber personenbezogene Daten darstellen, wenn f\u00fcr diesen die rechtliche M\u00f6glichkeit besteht, \u00fcber weitergehende Informationen die Identit\u00e4t des Nutzers bestimmen zu lassen."},{"example":"Ein Unternehmen ersetzt in einer Auswertung Namen durch Kennungen, bewahrt die zus\u00e4tzlichen Informationen gesondert auf und unterwirft sie technischen und organisatorischen Ma\u00dfnahmen; solche pseudonymisierten Daten sollten nach Erw\u00e4gungsgrund 26 als Informationen \u00fcber eine identifizierbare nat\u00fcrliche Person betrachtet werden, soweit sie durch zus\u00e4tzliche Informationen zugeordnet werden k\u00f6nnten."},{"example":"Gesundheitsdaten eines Patienten sind personenbezogene Daten, die sich auf die k\u00f6rperliche oder geistige Gesundheit der Person, einschlie\u00dflich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen \u00fcber den Gesundheitszustand hervorgehen (Art. 4 Nr. 15 DSGVO)."},{"example":"Ein Versicherer erh\u00e4lt einen Antrag mit Name, Adresse und Gesundheitsinformationen der antragstellenden Person; diese Angaben beziehen sich auf eine identifizierte nat\u00fcrliche Person und sind damit personenbezogene Daten."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33846,33741,33853,33844,33863,33871,33857,33861],"pillar_link":null,"sources":[{"publisher":"","name":"L_2016119DE.01000101.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Ber\u00fccksichtigung der TK-Branche","url":"https:\/\/www.bfdi.bund.de\/SharedDocs\/Downloads\/DE\/Konsultationsverfahren\/1_Anonymisierung\/Positionspapier-Anonymisierung.pdf?__blob=publicationFile&v=4","doc_type":"2020","group":"used"},{"publisher":"","name":"BfDI - Pressemitteilungen - Datenschutz gest\u00e4rkt: BfDI begr\u00fc\u00dft Urteil des EuGH zum Personenbezug von dynamischen IP-Adressen","url":"https:\/\/www.bfdi.bund.de\/SharedDocs\/Pressemitteilungen\/DE\/2016\/15_BfDIBegruesstUrteilEuGHIPAdressen.html","doc_type":"2016","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-23"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t