Was personenbezogene Daten wirklich sind

Die DSGVO ist eines der bekanntesten Gesetze Europas und zugleich eines der am häufigsten missverstandenen. Viele Unternehmen verbinden sie mit Cookie-Bannern, Einwilligungsformularen und der Angst vor Bußgeldern. Dabei beginnt alles mit einer einzigen Frage, die im Alltag oft übersprungen wird: Handelt es sich überhaupt um personenbezogene Daten? Nur dann gilt die Verordnung. Und die Antwort ist häufiger „ja“, als die meisten denken.

Diese Lektion schärft den Blick für diese erste Frage. Sie ist die Grundlage für alle folgenden Lektionen dieses Kurses – vom Auskunftsersuchen bis zum Datenschutzvorfall. Wer sicher erkennt, wann Daten einer Person zuzuordnen sind, trifft im Alltag die richtigen Entscheidungen, ohne jedes Mal nachschlagen zu müssen. Und er erkennt auch, wann die DSGVO gerade nicht greift.

1. Die Definition

Drei Teile dieser Definition verdienen Aufmerksamkeit. Erstens „alle Informationen“: Es kommt nicht darauf an, ob eine Angabe wichtig, privat oder heikel ist. Auch die Lieblingsfarbe eines Kunden ist ein personenbezogenes Datum, sobald sie ihm zugeordnet werden kann. Zweitens „natürliche Person“: Geschützt sind Menschen, nicht Unternehmen. Die Umsatzzahlen einer GmbH sind keine personenbezogenen Daten, die Angaben zu einem Einzelunternehmer dagegen schon. Drittens „identifizierbar“: Es genügt, dass sich die Person ermitteln lässt – ein Name muss nicht dastehen.

2. Identifizierbar – der weite Kern

Die meisten Missverständnisse betreffen die Identifizierbarkeit. Eine Kundennummer enthält keinen Namen, aber jeder im Vertrieb kann im System nachsehen, wer dahintersteht. Sie ist deshalb personenbezogen. Gleiches gilt für die Beschreibung „der Kollege aus dem Einkauf, der letzte Woche den Unfall hatte“, für das Kennzeichen eines persönlich genutzten Dienstwagens und – nach der Rechtsprechung des Europäischen Gerichtshofs – regelmäßig auch für die IP-Adresse eines Website-Besuchers.

Entscheidend ist nach Erwägungsgrund 26, welche Mittel nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die Person zu identifizieren. Dabei zählen Kosten, Zeitaufwand und die verfügbare Technik. Eine Information ist also nicht schon deshalb anonym, weil der Name fehlt. Sie ist es erst, wenn sich die Person mit vernünftigem Aufwand nicht mehr bestimmen lässt.

Die Unterscheidung zwischen Pseudonymisierung und Anonymisierung ist praktisch wichtig. Bei der Pseudonymisierung wird der Name durch ein Kennzeichen ersetzt, der Schlüssel zur Rückführung aber aufbewahrt. Das ist eine sinnvolle Schutzmaßnahme, die Daten bleiben aber personenbezogen. Bei der Anonymisierung wird der Bezug so entfernt, dass er sich nicht wiederherstellen lässt. Erst dann gilt die DSGVO nicht mehr. Der EuGH hat 2025 präzisiert, dass es dabei auch auf die Perspektive ankommen kann: Wer pseudonymisierte Daten erhält und keine realistische Möglichkeit hat, die Personen zu identifizieren, für den können sie unter Umständen nicht personenbezogen sein. Für das Unternehmen, das den Schlüssel hat, bleiben sie es.

3. Üben Sie das Urteil

4. Besonders geschützte Daten

Art. 9 DSGVO hebt bestimmte Kategorien heraus, deren Verarbeitung grundsätzlich verboten ist, sofern keine der eng gefassten Ausnahmen greift: Angaben zur ethnischen Herkunft, zu politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen und zur Gewerkschaftszugehörigkeit, genetische und biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung.

Im Unternehmensalltag begegnen diese Daten häufiger, als man denkt. Die Krankmeldung, der Hinweis auf eine Schwerbehinderung, die Konfession auf der Lohnabrechnung, der Fingerabdruck an der Zeiterfassung – all das fällt darunter. Hier sind besonders enge Zugriffsrechte, eine klare Rechtsgrundlage und äußerste Zurückhaltung beim Weitergeben geboten.

5. Die Grundsätze im Alltag

Art. 5 DSGVO nennt die Grundsätze, an denen sich jede Verarbeitung messen lassen muss. Sie klingen abstrakt, lassen sich aber in einfache Alltagsfragen übersetzen. Rechtmäßigkeit: Haben wir eine Grundlage, etwa einen Vertrag, eine gesetzliche Pflicht oder eine Einwilligung? Zweckbindung: Nutzen wir die Daten nur für den Zweck, für den wir sie erhoben haben? Datenminimierung: Brauchen wir wirklich alle Angaben, die wir abfragen? Richtigkeit: Sind die Daten aktuell? Speicherbegrenzung: Löschen wir, wenn der Zweck erfüllt ist? Integrität und Vertraulichkeit: Sind die Daten vor unbefugtem Zugriff geschützt? Und über allem steht die Rechenschaftspflicht: Wir müssen nachweisen können, dass wir diese Grundsätze einhalten.

Gerade die Datenminimierung ist ein unterschätzter Hebel. Jedes Formularfeld, das nicht abgefragt wird, jede Kopie, die nicht angelegt wird, jede Liste, die rechtzeitig gelöscht wird, reduziert das Risiko bei einem Vorfall und den Aufwand bei einer Auskunft. Wie das in der Praxis aussieht, zeigt die nächste Lektion zu Auskunftsersuchen. Wie personenbezogene Daten im Umgang mit KI-Werkzeugen zu behandeln sind, vertieft die Lektion Was darf ins Chatfenster? im Kurs zum EU AI Act.

6. Drei Denkfehler aus der Praxis

„Das sind doch nur Geschäftsdaten.“ Eine Kundendatei mit Firmennamen wirkt unpersönlich. Sobald darin aber Ansprechpartner mit Namen, Durchwahl und E-Mail-Adresse stehen, verarbeitet das Unternehmen personenbezogene Daten. Auch im reinen B2B-Geschäft gilt die DSGVO also fast immer – für die Menschen, mit denen man zu tun hat.

„Die Daten sind doch öffentlich.“ Dass eine Telefonnummer im Impressum steht oder ein Profil im Netz zu finden ist, macht die Daten nicht frei verfügbar. Sie bleiben personenbezogen, und wer sie sammelt, etwa für eine Werbeliste, braucht dafür eine eigene Rechtsgrundlage.

„Wir haben die Namen entfernt, also ist es anonym.“ Das ist der häufigste Irrtum in Auswertungen und Präsentationen. Eine Tabelle mit Abteilung, Alter und Eintrittsdatum lässt in kleinen Teams oft sofort erkennen, um wen es geht. Anonym ist eine Auswertung erst, wenn niemand mit vernünftigem Aufwand auf einzelne Personen zurückschließen kann – etwa weil nur Gruppen ab einer gewissen Größe ausgewiesen werden. Eine gute Faustregel sind Gruppen von mindestens fünf bis zehn Personen.

Stand: September 2026. Kursmaterial der Klarwerk Akademie, keine Rechtsberatung. Abbildungen sind vereinfachte, schematische Darstellungen.