Personenbezogene Daten

Ob die DSGVO überhaupt anwendbar ist, hängt an einer einzigen Frage: Geht es um personenbezogene Daten? Wenn ja, gelten alle Regeln, von der Rechtsgrundlage bis zur Löschung. Wenn nein, ist die DSGVO nicht einschlägig. In der Prüfung wird dieser Begriff deshalb sehr oft abgefragt, gern mit Beispielen, bei denen man auf den ersten Blick keinen Personenbezug erkennt. Wer hier sicher ist, spart sich später viele Fehler.

Was im Gesetz steht

Art. 4 Nr. 1 DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die betroffene Person ist der Mensch, um den es geht. Identifizierbar ist sie nach dem Gesetz, wenn sie direkt oder indirekt bestimmt werden kann, insbesondere über eine Kennung wie einen Namen, eine Kennnummer, Standortdaten, eine Online-Kennung oder über besondere Merkmale ihrer körperlichen, wirtschaftlichen, kulturellen oder sozialen Identität.

Identifiziert und identifizierbar

Identifiziert

Identifiziert ist eine Person, wenn sich aus der Information direkt ergibt, um wen es geht. Ein Eintrag wie "Maria Kessler, Firma Kessler Elektro, 08:12 Uhr" im Besucherbuch ist eindeutig.

Identifizierbar

Viel häufiger ist der zweite Fall. Die Information nennt keinen Namen, aber mit Zusatzwissen lässt sich die Person bestimmen. Beispiele aus dem Dienst:

• Kfz-Kennzeichen: Über den Halter lässt sich die Person ermitteln. Gehört das Fahrzeug einem Menschen, ist das Kennzeichen ein personenbezogenes Datum.
• Transpondernummer im Zutrittskontrollsystem: Die Nummer ist einem bestimmten Mitarbeiter zugeordnet.
• Kamerabild: Auch ohne Namen ist ein Mensch auf einem Videobild an Gesicht, Statur oder Kleidung erkennbar.
• Beschreibung im Wachbuch: "Der Hausmeister aus Gebäude C hat um 23 Uhr die Tür offen gelassen." Im Objekt weiß jeder, wer gemeint ist.
• Personalnummer oder Dienstnummer eines Kollegen.
• Funkaufzeichnung mit der Stimme einer Wachperson.

Wie viel Zusatzwissen zählt? Nach Erwägungsgrund 26 kommt es auf die Mittel an, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die Person zu bestimmen. Dabei spielen Kosten, Zeitaufwand und verfügbare Technik eine Rolle. Der Europäische Gerichtshof hat 2016 entschieden, dass sogar dynamische IP-Adressen personenbezogen sein können, wenn der Betreiber rechtliche Mittel hat, über Dritte an den Namen zu kommen.

Welche Informationen gemeint sind

Das Wort "alle" ist ernst gemeint. Es geht nicht nur um Name, Anschrift oder Geburtsdatum. Auch Verhaltensangaben, Aufenthaltsorte, Fotos und sogar Einschätzungen sind personenbezogene Daten. Schreibst du in einen Bericht "Herr B. wirkte aggressiv und angetrunken", dann ist das eine Information über Herrn B., auch wenn es deine Meinung ist. Sie muss deshalb sachlich und nachvollziehbar sein. Geht es um Angaben zur Gesundheit, zur Religion oder zur Herkunft, gelten zusätzlich die strengen Regeln für besondere Kategorien personenbezogener Daten.

Was keine personenbezogenen Daten sind

• Sachdaten ohne Personenbezug: "Tor 2 war um 3 Uhr nicht verschlossen." Erst wenn feststeht, wer zuletzt abgeschlossen hat, entsteht ein Bezug.
• Daten juristischer Personen: Umsatz oder Firmensitz einer GmbH. Der Name des Geschäftsführers ist dagegen personenbezogen.
• Anonyme Daten: Informationen, bei denen niemand mehr auf eine Person schließen kann, etwa "An diesem Tag kamen 312 Besucher". Für sie gilt die DSGVO nicht.
• Daten Verstorbener: Sie fallen nach Erwägungsgrund 27 nicht unter die DSGVO.

Anonym oder nur pseudonym?

Hier liegt eine beliebte Prüfungsfalle. Pseudonymisiert heißt nach Art. 4 Nr. 5 DSGVO: Der Name wird durch ein Kennzeichen ersetzt, aber irgendwo gibt es eine Zuordnungsliste. Solche Daten bleiben personenbezogen. Wenn im Schichtplan statt Namen die Kürzel WP01 bis WP12 stehen und im Büro eine Liste mit den Namen liegt, sind das weiterhin personenbezogene Daten. Anonym sind Daten erst, wenn sich der Bezug zur Person nicht mehr herstellen lässt.

Ein Fall aus dem Dienst

Am Werkstor eines Chemieparks notierst du in der Nachtschicht die Kennzeichen aller Fahrzeuge, die auf das Gelände fahren, mit Uhrzeit. Ein Kollege meint, das sei datenschutzrechtlich egal, weil keine Namen auf der Liste stehen.

Das stimmt nicht. Kennzeichen sind über den Halter bestimmbar, die Liste enthält also personenbezogene Daten. Zusammen mit der Uhrzeit zeigt sie, wer wann auf dem Gelände war. Das ist nicht verboten, braucht aber eine Rechtsgrundlage, einen klaren Zweck und eine Löschfrist. In der Regel legt das der Auftraggeber fest, und die Dienstanweisung sagt dir, was du notieren sollst. Die Liste gehört nicht offen auf den Tresen und nicht in dein privates Notizbuch.

Typische Prüfungsfallen

• Identifizierbar reicht. Ein Name muss nicht in den Daten stehen.
• Kennzeichen, Fotos, Personalnummern und Transpondernummern sind personenbezogen, wenn sie einem Menschen zuzuordnen sind.
• Pseudonymisierte Daten bleiben personenbezogen. Nur anonyme Daten fallen aus der DSGVO heraus.
• Auch Meinungen und Bewertungen über eine Person sind personenbezogene Daten.
• Firmendaten sind nicht geschützt, die Daten der Menschen in der Firma schon.

Art. 4 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.