Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Dazu gehören offensichtliche Angaben wie Name, Anschrift und Geburtsdatum, aber auch Kundennummern, IP-Adressen, Standortdaten, Fotos oder Bewertungen über eine Person. Sobald Ihr Unternehmen solche Daten verarbeitet, gilt die DSGVO.
Die Definition nach Art. 4 Nr. 1 DSGVO
Die DSGVO definiert den Begriff bewusst weit. Er besteht aus drei Teilen:
- Alle Informationen: Gemeint sind Fakten ebenso wie Einschätzungen. Auch eine Leistungsbeurteilung, eine Notiz im CRM oder die Randbemerkung eines Prüfers ist ein personenbezogenes Datum. Der EuGH hat das für Prüfungsantworten und die Anmerkungen des Prüfers ausdrücklich bestätigt (EuGH, Urteil vom 20.12.2017, C-434/16, Nowak).
- Bezug zu einer Person: Die Information muss eine Person betreffen, etwa weil sie etwas über sie aussagt, weil sie genutzt wird, um sie zu bewerten, oder weil sie sich auf sie auswirkt.
- Identifiziert oder identifizierbar: Eine Person ist identifizierbar, wenn sie direkt oder indirekt bestimmt werden kann, insbesondere über eine Kennung wie Name, Kennnummer, Standortdaten, Online-Kennung oder besondere Merkmale ihrer physischen, genetischen, wirtschaftlichen oder sozialen Identität.
Geschützt sind nur natürliche Personen. Daten über eine GmbH oder AG fallen nicht unter die DSGVO. Anders ist es, wenn eine Angabe zugleich eine Person betrifft, etwa beim Einzelkaufmann oder bei der Ein-Personen-GmbH. Auch Verstorbene schützt die DSGVO nicht (EG 27 DSGVO).
Wann ist eine Person identifizierbar?
Es reicht, dass die Person bestimmt werden kann. Entscheidend ist, welche Mittel nach allgemeinem Ermessen wahrscheinlich genutzt werden, um sie zu identifizieren (EG 26 DSGVO). Dabei zählen Kosten, Zeitaufwand und die verfügbare Technik. Rein theoretische Möglichkeiten genügen nicht.
Man spricht deshalb auch von "personenbeziehbaren" Daten. Eine Kundennummer allein nennt keinen Namen. Weil Ihr Unternehmen sie aber mit der Kundendatenbank verknüpfen kann, ist sie für Sie ein personenbezogenes Datum.
Beispiele für personenbezogene Daten
| Art der Daten | Beispiele |
|---|---|
| Identifikation | Vor- und Nachname, Geburtsdatum, Personalausweisnummer, Steuer-ID, Unterschrift |
| Kontakt | Privatanschrift, private und dienstliche E-Mail-Adresse (max.mustermann@firma.de), Telefonnummer |
| Beschäftigung | Personalnummer, Gehalt, Arbeitszeiten, Beurteilungen, Krankheitstage |
| Finanzen | IBAN, Kreditkartennummer, Bonitätsscore, Kaufhistorie |
| Online | IP-Adresse, Cookie-ID, Geräte-ID, Login-Daten, Nutzungsprofile |
| Standort und Bild | GPS-Daten eines Dienstwagens, Kfz-Kennzeichen, Fotos, Videoaufnahmen, Stimmaufzeichnungen |
| Bewertungen | Kundenbewertung über einen Mitarbeiter, Notizen im Bewerbungsgespräch |
Keine personenbezogenen Daten sind dagegen Angaben ohne Personenbezug: eine allgemeine Adresse wie info@firma.de einer GmbH mit mehreren Mitarbeitern, Unternehmenskennzahlen oder echte anonyme Statistiken.
Welche Arten von personenbezogenen Daten gibt es?
Die DSGVO unterscheidet nur "normale" personenbezogene Daten, besondere Kategorien (Art. 9 DSGVO) und Daten über Straftaten (Art. 10 DSGVO). In der Praxis hat sich zusätzlich eine Einteilung nach Datenarten bewährt:
- Stammdaten: Name, Anschrift, Geburtsdatum, Kundennummer
- Kommunikationsdaten: E-Mail-Adresse, Telefonnummer, Inhalte von Nachrichten
- Vertrags- und Abrechnungsdaten: bestellte Leistungen, Zahlungsdaten, Rechnungen
- Nutzungs-, Meta- und Standortdaten: Login-Zeitpunkte, besuchte Seiten, GPS-Positionen
- Beschäftigtendaten: Personalakte, Zeiterfassung, Beurteilungen
- Besondere Kategorien und Strafdaten: mit strengeren Regeln
Sind Name und Vorname personenbezogene Daten?
Ja. Der Name ist das typische Merkmal, mit dem eine Person identifiziert wird. Ein Vorname allein kann ebenfalls genügen, wenn der Zusammenhang die Person erkennbar macht, zum Beispiel "Frau Anna aus der Buchhaltung" in einem Betrieb mit 30 Beschäftigten. Auch geschäftliche Kontaktdaten von Ansprechpartnern bei Kunden und Lieferanten sind personenbezogene Daten.
IP-Adressen und Online-Kennungen
Online-Kennungen wie IP-Adressen und Cookie-Kennungen können personenbezogene Daten sein (EG 30 DSGVO). Der EuGH hat 2016 entschieden, dass auch eine dynamische IP-Adresse für den Betreiber einer Website ein personenbezogenes Datum ist, wenn er rechtliche Mittel hat, die Person mit Hilfe von Zusatzwissen des Internetanbieters zu bestimmen (EuGH, Urteil vom 19.10.2016, C-582/14, Breyer). Diese Mittel bestehen etwa bei Cyberangriffen über die zuständigen Behörden.
Für die Praxis heißt das: Behandeln Sie IP-Adressen in Server-Logfiles, Analyse-Tools und Formularen als personenbezogene Daten. Sie brauchen eine Rechtsgrundlage, müssen in der Datenschutzerklärung informieren und die Speicherdauer begrenzen.
Besondere Kategorien personenbezogener Daten
Einige Daten sind besonders sensibel. Art. 9 Abs. 1 DSGVO nennt Daten über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben und zur sexuellen Orientierung.
Ihre Verarbeitung ist grundsätzlich verboten und nur mit einer Ausnahme nach Art. 9 Abs. 2 DSGVO erlaubt. Was dafür gilt, erklärt der Artikel zu den besonderen Kategorien personenbezogener Daten. Typische Fälle im Unternehmen sind die Religionszugehörigkeit für die Kirchensteuer, der Schwerbehindertenstatus oder Arbeitsunfähigkeitszeiten. Für Daten über strafrechtliche Verurteilungen gilt zusätzlich Art. 10 DSGVO.
Pseudonyme und anonyme Daten
Pseudonymisierte Daten können ohne Zusatzwissen keiner Person mehr zugeordnet werden, etwa wenn der Name durch eine ID ersetzt wird und die Zuordnungstabelle getrennt liegt (Art. 4 Nr. 5 DSGVO). Für den Verantwortlichen, der die Zuordnung kennt, bleiben sie personenbezogen. Der EuGH hat 2025 klargestellt, dass es auf die Sicht des jeweiligen Empfängers ankommen kann: Kann ein Empfänger die Person mit vernünftigerweise verfügbaren Mitteln nicht bestimmen, sind die Daten für ihn unter Umständen nicht personenbezogen (EuGH, Urteil vom 04.09.2025, C-413/23 P, EDSB/SRB).
Anonyme Daten lassen sich keiner Person mehr zuordnen, auch nicht mit Zusatzwissen. Für sie gilt die DSGVO nicht (EG 26 DSGVO). Echte Anonymisierung ist schwieriger, als viele denken. Das zeigt auch der Vergleich von Anonymisierung und Pseudonymisierung. Ein Datensatz aus Postleitzahl, Geburtsdatum und Geschlecht kann schon ausreichen, um eine Person zu erkennen.
Art. 4 DSGVO: Die wichtigsten Begriffe
Art. 4 DSGVO enthält 26 Begriffsbestimmungen, Nr. 1 definiert personenbezogene Daten. Für den Alltag im Unternehmen sind außerdem diese Begriffe wichtig:
| Begriff | Fundstelle | Bedeutung in der Praxis |
|---|---|---|
| Verarbeitung | Art. 4 Nr. 2 | fast jeder Umgang mit Daten, vom Erheben über Speichern und Abfragen bis zum Löschen |
| Einschränkung der Verarbeitung | Art. 4 Nr. 3 | Daten werden markiert und gesperrt, statt sie weiter zu nutzen |
| Profiling | Art. 4 Nr. 4 | automatisierte Bewertung persönlicher Aspekte, etwa Leistung, Vorlieben oder Zahlungsverhalten |
| Pseudonymisierung | Art. 4 Nr. 5 | Zuordnung zur Person nur mit getrennt aufbewahrtem Zusatzwissen |
| Verantwortlicher | Art. 4 Nr. 7 | wer über Zwecke und Mittel entscheidet, in der Regel Ihr Unternehmen |
| Auftragsverarbeiter | Art. 4 Nr. 8 | Dienstleister, der Daten in Ihrem Auftrag verarbeitet |
| Empfänger | Art. 4 Nr. 9 | jede Stelle, der Daten offengelegt werden |
| Einwilligung | Art. 4 Nr. 11 | freiwillige, informierte und eindeutige Erklärung für einen bestimmten Fall |
| Verletzung des Schutzes personenbezogener Daten | Art. 4 Nr. 12 | Datenpanne: eine Verletzung der Sicherheit, die zu Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang führt, meldepflichtig nach Art. 33 DSGVO |
| Genetische, biometrische und Gesundheitsdaten | Art. 4 Nr. 13 bis 15 | besonders sensible Daten, für die Art. 9 DSGVO gilt |
Warum der Begriff für Ihr Unternehmen wichtig ist
Der Begriff entscheidet über den Anwendungsbereich der DSGVO (Art. 2 Abs. 1 DSGVO). Sobald personenbezogene Daten ganz oder teilweise automatisiert verarbeitet werden, gelten alle Pflichten: Rechtsgrundlage nach Art. 6 DSGVO, Informationspflichten, Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Betroffenenrechte und die Meldepflicht bei Datenpannen.
Häufige Irrtümer
- "Öffentliche Daten sind frei verwendbar." Auch Daten aus dem Internet, aus Registern oder von Social-Media-Profilen bleiben personenbezogen. Sie brauchen eine Rechtsgrundlage und müssen gegebenenfalls nach Art. 14 DSGVO informieren.
- "Ohne Namen kein Personenbezug." Kundennummern, Kennzeichen, Gerätekennungen und Fotos reichen aus.
Checkliste: So behalten Sie den Überblick
- Erfassen Sie, welche Daten in welchen Systemen liegen (CRM, E-Mail, Buchhaltung, Personalakte, Website).
- Ordnen Sie jede Datenart einem Zweck und einer Rechtsgrundlage zu.
- Markieren Sie besondere Kategorien nach Art. 9 DSGVO gesondert.
- Halten Sie das Ergebnis im Verzeichnis von Verarbeitungstätigkeiten fest (Art. 30 DSGVO).
- Legen Sie Löschfristen fest und setzen Sie sie technisch um.
Im Zweifel gilt: Behandeln Sie eine Information als personenbezogen, solange Sie nicht sicher ausschließen können, dass sie sich einer Person zuordnen lässt. Welche Daten in Ihrem Unternehmen wo liegen, zeigt ein Datenschutz-Audit.