Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören nicht nur Name und Anschrift. Auch Bewertungen, technische Kennungen und Kombinationen scheinbar unauffälliger Merkmale können personenbezogen sein. Entscheidend ist der konkrete Zusammenhang mit einer Person und den vernünftigerweise nutzbaren Identifizierungsmöglichkeiten.
Die Einordnung ist der Ausgangspunkt für weitere Datenschutzfragen, aber keine Abkürzung zu allen Antworten. Ein personenbezogener Datensatz ist nicht automatisch besonders sensibel, seine Verarbeitung nicht automatisch unzulässig und nicht jede DSGVO-Einzelpflicht in jedem Fall einschlägig. Dieser Leitfaden erklärt die Definition und liefert eine ausgefüllte Entscheidungsmatrix für typische Unternehmensdaten.
Ein konkreter Fall gesetzlich veranlasster Erhebung ist die Abstimmung von Geldwäschepflichten und Datenschutz: Identifizierung, zulässiger Verwendungszweck und spätere Aufbewahrung benötigen jeweils eine eigene Begründung.
1. Vier Bestandteile der Definition prüfen
Artikel 4 Nummer 1 DSGVO verbindet Information, Personenbezug, Identifizierung oder Identifizierbarkeit und eine natürliche Person. Der Begriff erfasst direkte und indirekte Identifikation, beispielsweise über Namen, Kennnummern, Standortangaben oder Onlinekennungen. Ergänzend erläutert Erwägungsgrund 26 die vernünftigerweise nutzbaren Mittel unter Berücksichtigung von Aufwand, Kosten und Technik. Siehe den amtlichen DSGVO-Text.
Für eine praktische Prüfung lassen sich daraus vier Fragen ableiten. Welche Aussage enthält der Datensatz? Auf wen bezieht sie sich ihrem Inhalt, Zweck oder ihrer Wirkung nach? Ist diese Person bereits bekannt oder im betreffenden Kontext identifizierbar? Handelt es sich um eine natürliche Person? Schreiben Sie die Antworten für den ganzen Datensatz auf, nicht nur für eine isolierte Spaltenüberschrift.
Ein Datum wie „8. September“ sagt allein wenig aus. Zusammen mit einer Personalnummer und der Bezeichnung „Rückkehr nach Erkrankung“ betrifft es dagegen einen Beschäftigten. Umgekehrt ist nicht jede technische Messung automatisch eine Aussage über eine Person. Der Druckwert einer unbemannten Anlage kann im konkreten Kontext rein sachbezogen bleiben. Werden Messdaten jedoch zur Bewertung eines bestimmten Maschinenführers genutzt, ändert sich die Prüfung.
2. Auch Meinungen und Bewertungen sind Informationen
Personenbezogene Daten müssen nicht objektiv richtig oder von der betroffenen Person selbst mitgeteilt worden sein. Eine Einschätzung wie „Bewerberin beherrscht das benötigte Fachverfahren nicht“ bezieht sich auf die Bewerberin, auch wenn sie die Bewertung bestreitet. Die Streitigkeit beseitigt den Personenbezug nicht.
Im Urteil Nowak, C-434/16, hat der EuGH schriftliche Prüfungsantworten und Prüferanmerkungen als personenbezogene Informationen eingeordnet. Maßgeblich war unter anderem ihre Verbindung zur Person durch Inhalt, Zweck oder Wirkung. Eine Information kann sich außerdem auf mehrere Personen beziehen. Siehe Randnummern 34 bis 45 des Urteils.
Für ein Unternehmen bedeutet das: Freitextnotizen und interne Bewertungen gehören in die Dateninventur. Sie verschwinden nicht aus der DSGVO, weil sie als „nur intern“ oder „subjektiv“ bezeichnet werden. Bei falschen Tatsachen und Bewertungen sind die jeweils einschlägigen Rechte und die Art der Aussage zu unterscheiden; die vorgelagerte Einstufung als personenbezogen bleibt davon getrennt.
3. Geschäftlich und öffentlich bedeutet nicht personenfrei
Eine namentliche berufliche E-Mail-Adresse kann eine natürliche Person identifizieren. Gleiches gilt für ein öffentliches berufliches Profil, einen Ansprechpartner in einem Lieferantenverzeichnis oder die Durchwahl einer bestimmten Beschäftigten. Personenbezogen ist deshalb weiter als privat oder vertraulich.
Eine allgemeine Funktionsadresse kann dagegen im konkreten Kontext nur eine Organisation bezeichnen. Trotzdem ist „info@…“ kein allgemeiner Ausschlussgrund. Bei einem Einzelunternehmen, einem bekannten alleinigen Bearbeiter oder einem mit der Adresse verknüpften personenbezogenen Vorgang kann eine natürliche Person erkennbar sein. Prüfen Sie die verfügbaren Informationen, statt eine starre Liste erlaubter E-Mail-Präfixe zu verwenden.
Daten über juristische Personen sind als solche nicht durch diese Definition erfasst. Dieselbe Geschäftsunterlage kann aber Namen, Unterschriften und Angaben über natürliche Personen enthalten. Auch die Tatsache, dass eine Information öffentlich zugänglich ist, ersetzt keine Rechtsgrundlage für ihre weitere Nutzung. Werden Daten aus fremden Quellen übernommen, können zudem die Informationspflichten nach Artikel 14 relevant werden.
4. Technische Kennungen im Zusammenhang betrachten
Eine Personalnummer lässt sich über ein Beschäftigtenverzeichnis zuordnen. Eine Kundenkennung kann mit Bestellungen verbunden werden. Standortdaten können durch wiederkehrende Aufenthaltsorte oder zusätzliche Angaben eine Person erkennbar machen. Der bürgerliche Name muss nicht in jeder einzelnen Datei stehen.
Bei IP-Adressen kommt es ebenfalls auf die Umstände und rechtliche beziehungsweise tatsächliche Identifizierungswege an. Das Breyer-Urteil zeigt, dass zusätzliche Informationen bei einem anderen Beteiligten relevant sein können, wenn entsprechende Mittel zur Identifizierung bestehen. Daraus folgt kein unmittelbarer allgemeiner Auskunftsanspruch jedes Webseitenbetreibers gegen jeden Zugangsanbieter. Die genaue Prüfung erläutert der Beitrag zu IP-Adressen als personenbezogenen Daten.
Bei einem Protokoll müssen außerdem Zeitstempel, Kontokennung und weitere Ereignisse einbezogen werden. Die Kürzung einer einzelnen Kennung macht nicht automatisch den gesamten Datensatz anonym. Das Konzept für Sicherheitsprotokollierung verbindet diese Einordnung mit Zweck, Zugriff und Aufbewahrung.
5. Ausgefüllte Entscheidungsmatrix für einen Beispielbetrieb
Das fiktive Unternehmen Stadtwerkzeug inventarisiert Daten aus Einkauf, Personalverwaltung und IT. Die folgenden Ergebnisse beruhen auf den ausdrücklich genannten Umständen. Sie sind keine universellen Aussagen über sämtliche Datensätze mit derselben Bezeichnung.
| Datensatz | Tatsächlicher Zusammenhang | Ergebnis im Beispiel |
|---|---|---|
| Name und direkte berufliche Telefonnummer einer Lieferantenmitarbeiterin | Bestimmte natürliche Person ist bekannt | Personenbezogen |
| Monatsumsatz einer GmbH ohne Angaben über einzelne Personen | Aussage betrifft ausschließlich die juristische Person | Für sich genommen nicht personenbezogen |
| Personalnummer und Schulungsergebnis | Personalverwaltung besitzt die Zuordnung | Personenbezogen |
| Freitext „unzuverlässig“ im Bewerbungsprofil | Bewertung einer identifizierten Bewerberin | Personenbezogen, auch wenn bestritten |
| Fehlerstatistik mit Standort, seltener Funktion und genauem Datum | Einziger dort eingesetzter Mitarbeiter ist erkennbar | Personenbezug trotz fehlenden Namens |
| Zusammengefasste Produktionsmenge großer Anlagenbereiche | Keine vernünftigerweise nutzbare Verbindung zu Einzelpersonen festgestellt | Nach dokumentierter Prüfung ohne Personenbezug |
| Projektfoto mit erkennbaren Beschäftigten | Personen sind visuell oder aus dem Projektzusammenhang identifizierbar | Personenbezogen; Artikel-9-Prüfung gesondert |
Der Vermerk zur Fehlerstatistik lautet: „Die Namensspalte wurde entfernt, die Kombination aus Standort und seltener Tätigkeit ermöglicht im Unternehmen weiterhin die Zuordnung. Der Datensatz wird daher hier als personenbezogen behandelt. Für die geplante externe Statistik werden gröbere Gruppen und die verbleibenden Zuordnungsmöglichkeiten gesondert geprüft.“
Dieser Vermerk erklärt sowohl das Ergebnis als auch seine Grenze. Er behauptet weder, dass jede Statistik personenbezogen sei, noch dass jeder Empfänger dieselben Kenntnisse besitzt. Die erforderliche Detailtiefe lässt sich anschließend mit der Feldprüfung zur Datenminimierung bewerten.
6. Pseudonymisierung und Empfängerkontext richtig einordnen
Pseudonymisierung trennt die unmittelbare Zuordnung von den übrigen Daten und erfordert zusätzliche Informationen für die erneute Zuordnung. Für eine Stelle, die den Schlüssel und die erforderlichen Mittel besitzt, bleibt die Person identifizierbar. Ein Kennungstausch ist deshalb kein allgemeiner Ausstieg aus dem Datenschutzrecht.
Der EuGH hat in C-413/23 P vom 4. September 2025 zugleich klargestellt, dass pseudonymisierte Daten nicht ausnahmslos für jede Person personenbezogen sein müssen. Zu berücksichtigen sind die beim jeweiligen Beteiligten vernünftigerweise nutzbaren Identifizierungsmittel. Das Urteil betraf die entsprechende Definition der Verordnung 2018/1725 und zieht DSGVO-Rechtsprechung heran. Die Informationspflicht des erhebenden Verantwortlichen wurde aus dessen Sicht zum Erhebungszeitpunkt beurteilt; eine spätere Pseudonymisierung beseitigte sie nicht. Siehe Randnummern 79 bis 87 und 101 bis 114.
Praktisch müssen Schlüsselzugriff, Zusatzwissen, mögliche Verknüpfungen und spätere Weitergaben dokumentiert werden. Eine bloße Zusicherung „Der Empfänger kennt die Namen nicht“ reicht nicht. Für die technische und organisatorische Umsetzung ergänzt der Leitfaden zur Pseudonymisierung mit Zuordnungsschlüssel diese Begriffsprüfung.
7. Was echte Anonymisierung voraussetzt
Bei anonymen Informationen ist eine natürliche Person nach dem maßgeblichen Kontext und den vernünftigerweise zu berücksichtigenden Mitteln nicht identifizierbar. Die Prüfung verlangt keinen Beweis gegen jede theoretisch denkbare Möglichkeit. Sie darf aber erkennbare Zusatzdaten und praktikable Verknüpfungswege nicht ausblenden.
Für Stadtwerkzeug kann etwa eine seltene Tätigkeit trotz entfernter Kennung problematisch bleiben. Gröbere Zeiträume, größere Gruppen oder das Weglassen einzelner Merkmale können helfen. Jede Veränderung ist daran zu messen, ob sie den tatsächlichen Zuordnungsweg ausreichend unterbricht. Ein festes Mindestgruppenschema ohne Betrachtung weiterer Merkmale bietet keine allgemeine Garantie.
Die Anonymisierung personenbezogener Daten behandelt diese Prüfung ausführlicher. Die Verarbeitung bis zur wirksamen Anonymisierung bleibt gesondert zu rechtfertigen. Ein später personenfreies Ergebnis legitimiert die ursprüngliche Erhebung nicht rückwirkend.
8. Besondere Kategorien und Straftatendaten getrennt markieren
Artikel 9 DSGVO betrifft bestimmte besonders geschützte Kategorien, darunter Gesundheitsdaten, genetische Daten, politische Meinungen, religiöse oder weltanschauliche Überzeugungen und Gewerkschaftszugehörigkeit. Für die Verarbeitung ist neben der einschlägigen allgemeinen Rechtsgrundlage eine passende Ausnahme vom Verbot des Artikels 9 Absatz 1 erforderlich. Nicht jede als vertraulich empfundene Information gehört zu dieser Liste.
Biometrische Daten sind in Artikel 9 erfasst, wenn sie zur eindeutigen Identifizierung verarbeitet werden. Ein gewöhnliches Foto ist nicht allein wegen eines sichtbaren Gesichts automatisch eine solche Verarbeitung. Auch Staatsangehörigkeit ist nicht schlicht mit ethnischer Herkunft gleichzusetzen; Kontext und Aussage der verarbeiteten Information müssen geprüft werden.
Daten über strafrechtliche Verurteilungen und Straftaten haben in Artikel 10 einen eigenen Rahmen. Sie werden nicht dadurch zu gewöhnlichen Personaldaten, dass ein Bewerbungsformular danach fragt. Der Leitfaden zum Führungszeugnis im Bewerbungsverfahren zeigt die konkrete deutsche Anwendungsfrage.
9. Nach der Einstufung die richtigen nächsten Fragen stellen
Ist Personenbezug festgestellt, prüfen Sie den sachlichen und räumlichen Anwendungsbereich sowie die tatsächlichen Rollen. Die DSGVO erfasst automatisierte Verarbeitung und bestimmte nichtautomatisierte Verarbeitung in Dateisystemen; sie enthält auch Ausnahmen, etwa für ausschließlich persönliche oder familiäre Tätigkeiten. Die Einstufung eines Datums allein ersetzt diese Anwendungsprüfung nicht.
Anschließend folgen Zweck, Rechtsgrundlage, Datenumfang, Information, Sicherheit und die jeweils einschlägigen Rechte. Ein Verarbeitungsverzeichnis oder eine Datenschutz-Folgenabschätzung ist anhand der gesetzlichen Voraussetzungen zu beurteilen. Ebenso ist nicht jede Datenpanne ohne Rücksicht auf die Risikoschwelle meldepflichtig. Die Abgrenzung der Datenschutzrollen hilft, die Aufgaben richtig zuzuweisen.
Der Abschlussvermerk sollte Datensatz, betrachtete Stelle, Identifizierungswege, Ergebnis und Überprüfungsanlass enthalten. Ein neuer Datenabgleich oder ein neuer Empfänger kann die Bewertung verändern. Damit wird aus der Definition eine verwendbare Entscheidung für Einkauf, Fachbereich und IT.
Häufige Fragen
Sind öffentlich verfügbare berufliche Angaben personenbezogen?
Ja, wenn sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Öffentlichkeit und beruflicher Zusammenhang beseitigen den Personenbezug nicht. Sie können bei weiteren rechtlichen Prüfungen eine Rolle spielen.
Reicht das Entfernen des Namens?
Nicht automatisch. Kennungen, seltene Merkmale und zusätzliche Daten können weiterhin eine Zuordnung ermöglichen. Prüfen Sie die konkrete Stelle und ihre vernünftigerweise nutzbaren Mittel.
Sind alle personenbezogenen Daten besondere Kategorien?
Nein. Artikel 9 nennt bestimmte Kategorien; Artikel 10 enthält einen eigenen Rahmen für Straftatendaten. Auch gewöhnliche Kontaktdaten benötigen Schutz, fallen aber nicht allein deshalb unter Artikel 9.