Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Dazu gehören nicht nur Name und Adresse, sondern auch Kennnummern, Standortdaten, IP-Adressen, Fotos oder Angaben zu Gesundheit und Einkommen. Entscheidend ist, ob sich die Information einem bestimmten Menschen zuordnen lässt, direkt oder mit vertretbarem Aufwand. Nur dann gilt die DSGVO.
Ein Beispiel aus dem Alltag
In der Kanzlei Hartmann (ein erfundenes Beispiel) liegt eine Akte: „Mandant M. Albrecht, Personalnummer P-20417, Gehalt 68.400 Euro, Kündigung erhalten am 3. Juli.“ Fast jede Angabe darin ist personenbezogen. Auch ohne den Namen wäre die Akte es noch: Personalnummer, Arbeitgeber und Kündigungsdatum reichen, um herauszufinden, um wen es geht.
Anders die Zahl „Durchschnittsgehalt aller Ingenieure in Bayern“: Sie beschreibt keinen bestimmten Menschen und ist deshalb kein personenbezogenes Datum.
Die Definition im Einzelnen
Identifiziert oder identifizierbar
Identifiziert ist eine Person, wenn klar ist, wer gemeint ist, etwa durch den Namen. Identifizierbar ist sie, wenn sich das mit zusätzlichen Informationen herausfinden lässt. Art. 4 Nr. 1 nennt als Beispiele einen Namen, eine Kennnummer, Standortdaten, eine Online-Kennung sowie Merkmale der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität.
Ob jemand identifizierbar ist, richtet sich nach Erwägungsgrund 26: Es zählen alle Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technik.
Beispiele für personenbezogene Daten
- Stammdaten: Name, Anschrift, Geburtsdatum, Telefonnummer, E-Mail-Adresse (auch die dienstliche, wenn sie einen Namen enthält)
- Kennnummern: Personalausweis-, Steuer-, Sozialversicherungs-, Personal-, Kunden- oder Versichertennummer, IBAN, Kfz-Kennzeichen
- Online-Daten: IP-Adresse, Cookie-Kennungen, Geräte-IDs, Standortdaten
- Bilder und Stimme: Fotos, Videoaufnahmen, Sprachaufnahmen
- Beruf und Finanzen: Gehalt, Bonität, Leistungsbeurteilung, Arbeitszeiten
- Inhalte: E-Mails, Chatverläufe, Notizen über eine Person, Meinungen über sie
Besonders geschützt sind Gesundheitsdaten, genetische und biometrische Daten, religiöse oder politische Überzeugungen und weitere Kategorien nach Art. 9 DSGVO.
Die IP-Adresse: der Fall Breyer
Lange war umstritten, ob eine dynamische IP-Adresse ein personenbezogenes Datum ist, denn der Websitebetreiber kennt den Namen dahinter nicht. Der Europäische Gerichtshof entschied 2016 im Fall Breyer: Sie kann es sein, wenn der Betreiber rechtliche Mittel hat, über den Internetanbieter die Person ermitteln zu lassen, etwa im Fall eines Angriffs. Seitdem gilt die IP-Adresse in der Praxis als personenbezogen.
Was keine personenbezogenen Daten sind
- Daten über Unternehmen, etwa Umsatz oder Handelsregisternummer einer GmbH. Anders bei Einzelunternehmern, deren Firmendaten zugleich Daten über einen Menschen sind.
- Daten über Verstorbene (Erwägungsgrund 27). Hier können aber andere Regeln greifen, etwa die ärztliche Schweigepflicht, die über den Tod hinaus gilt.
- Statistische und aggregierte Werte, die keinen Einzelnen erkennen lassen.
- Anonymisierte Daten, bei denen der Personenbezug endgültig entfernt wurde.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was der Begriff nicht schützt
Der Begriff „personenbezogen“ ist das Tor zur DSGVO. Alles, was durch dieses Tor geht, ist geschützt. Alles andere nicht. Erwägungsgrund 26 sagt ausdrücklich, dass die DSGVO für anonyme Informationen nicht gilt.
Das hat eine Folge, die viele überrascht: Nimmt man aus einem Arztbrief, einem Vertragsentwurf oder einer Gehaltsliste alles heraus, was auf einen Menschen zeigt, bleibt der eigentliche Inhalt übrig. Die Diagnose, die Klausel, die Gehaltsspanne. Diese Daten sind nicht mehr personenbezogen und dürfen rechtmäßig gebündelt, lizenziert und verkauft werden. Für Berufsgeheimnisträger endet an derselben Stelle auch die Schweigepflicht nach § 203 StGB.
Zwei Vorbehalte:
- Ein Code statt des Namens reicht nicht. Pseudonymisierte Daten bleiben personenbezogen, jedenfalls für jeden, der die Zuordnung herstellen kann. Den Unterschied erklärt Pseudonymisierung und Anonymisierung.
- Anonym ist schnell wieder persönlich. Forschung zeigt, dass rund 87 % der US-Amerikaner allein über Postleitzahl, Geburtsdatum und Geschlecht identifizierbar sind. Mit KI wird das Zusammenführen von Datenquellen noch einfacher.
Wie aus einem vertraulichen Dokument ein handelbarer Datensatz wird, zeigt Die Datenspur. Wer solche Daten kauft, beschreibt Legal verkäuflich.
Was das für KI-Werkzeuge bedeutet
Fast alles, was Sie in ein KI-Werkzeug eingeben, enthält personenbezogene Daten: eine E-Mail mit Signatur, ein Protokoll mit Namen, ein Lebenslauf. Prüfen Sie deshalb:
- Gibt es einen AVV mit dem Anbieter, und handelt er nur auf Ihre Weisung?
- Erlauben die Nutzungsbedingungen, Ihre Inhalte zu nutzen, zu „verbessern“ oder anonymisiert weiterzugeben?
- Wird mit Ihren Eingaben trainiert?
- Wo wird gehostet, und was speichern die angebundenen Modellanbieter?
Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet Ihre Inhalte nur, um den Dienst für Sie zu erbringen. Wir nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht mit Ihren Inhalten und verkaufen sie nicht, weder personenbezogen noch anonymisiert. Diese Zusagen stehen im Vertrag und binden auch jeden, dem Wysor künftig gehören könnte. Ihre Daten sind verschlüsselt und in der EU gehostet, bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention. Mehrere Modelle, darunter GPT, Claude und Gemini, nutzen Sie in einem Arbeitsbereich.
Häufige Fragen
Was sind personenbezogene Daten laut Definition? Nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Was sind Beispiele für personenbezogene Daten? Name, Adresse, Geburtsdatum, E-Mail-Adresse, Telefonnummer, IP-Adresse, Personal- oder Versichertennummer, Fotos, Gehalt, Gesundheitsangaben und Standortdaten.
Ist eine IP-Adresse ein personenbezogenes Datum? In der Regel ja. Der EuGH hat 2016 im Fall Breyer entschieden, dass auch dynamische IP-Adressen personenbezogen sein können, wenn die Person mit rechtlich zulässigen Mitteln ermittelt werden kann.
Ist eine geschäftliche E-Mail-Adresse personenbezogen? Ja, wenn sie einen Namen enthält, etwa [email protected]. Eine Sammeladresse wie [email protected] ist es in der Regel nicht.
Sind anonymisierte Daten personenbezogene Daten? Nein. Ist der Personenbezug endgültig entfernt, gilt die DSGVO nicht mehr. Pseudonymisierte Daten bleiben dagegen personenbezogen, jedenfalls für jeden, der die Zuordnung herstellen kann.
Weiterlesen
- Was ist die DSGVO?. Grundsätze, Rechte und Bußgelder einfach erklärt.
- Pseudonymisierung und Anonymisierung. Wann Daten aufhören, personenbezogen zu sein.
- Art. 9 DSGVO: Gesundheitsdaten. Die besonders geschützten Kategorien.
- DSGVO-konforme KI. Wie Sie KI mit personenbezogenen Daten sicher nutzen.
- BDSG einfach erklärt. Was das deutsche Datenschutzgesetz ergänzend regelt.
- TDDDG einfach erklärt. Cookies, Geräte-IDs und Einwilligung.
Fragen zum Umgang mit personenbezogenen Daten in Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
