Personenbezogene Daten sind nach Art. 4 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen offensichtliche Angaben wie Name, Adresse und E-Mail-Adresse, aber auch IP-Adressen, Cookie-IDs, Standortdaten oder Nutzerverhalten. Sobald personenbezogene Daten verarbeitet werden, gilt die DSGVO mit ihren Pflichten zu Rechtsgrundlage, Transparenz und Datensicherheit.
Was zählt zu personenbezogenen Daten?
Der Begriff ist bewusst weit gefasst: Erfasst ist jede Information, die einer Person direkt oder indirekt zugeordnet werden kann. Neben Stammdaten wie Name, Geburtsdatum und Kontaktdaten gehören dazu auch Online-Kennungen wie IP-Adressen, Geräte-IDs und Cookie-IDs, außerdem Fotos, Bewertungen, Vertragsdaten und Verhaltensdaten wie besuchte Seiten oder Klickpfade.
Eine besondere Kategorie bilden sensible Daten nach Art. 9 DSGVO — etwa Gesundheitsdaten, religiöse Überzeugungen oder Daten zur Sexualität. Für sie gelten strengere Anforderungen. Relevant wird das zum Beispiel, wenn eine Kanzlei-Website Kontaktformulare für strafrechtliche oder familienrechtliche Anliegen anbietet: Schon die Anfrage kann sensible Informationen enthalten.
Warum sind personenbezogene Daten wichtig?
Ob Daten personenbezogen sind, entscheidet darüber, ob die DSGVO überhaupt anwendbar ist. Im Online-Marketing ist das fast immer der Fall: Tracking-Tools arbeiten mit Cookie-IDs und IP-Adressen, Newsletter-Systeme mit E-Mail-Adressen, CRM-Systeme mit vollständigen Kontaktprofilen. Wer personenbezogene Daten verarbeitet, braucht eine Rechtsgrundlage, muss transparent informieren, Betroffenenrechte erfüllen und die Daten technisch absichern.
Erst wenn Daten so anonymisiert sind, dass kein Personenbezug mehr herstellbar ist, fallen sie aus dem Anwendungsbereich der DSGVO. Pseudonymisierte Daten — etwa gehashte E-Mail-Adressen — bleiben dagegen personenbezogen, weil der Bezug mit Zusatzwissen wiederhergestellt werden kann.
Personenbezogene Daten in der Praxis
Für Website-Betreiber empfiehlt sich eine Bestandsaufnahme: Welche Daten fließen über Formulare, Tracking, Newsletter, Bewerbungen und eingebundene Drittdienste? Jede dieser Verarbeitungen braucht eine Rechtsgrundlage und einen Platz in der Datenschutzerklärung. Grundsätze wie Datenminimierung helfen dabei, das Risiko zu senken: Formulare sollten nur die Felder abfragen, die wirklich benötigt werden.
Bei der Zusammenarbeit mit Dienstleistern — Hosting, E-Mail-Marketing, Agenturen — werden personenbezogene Daten regelmäßig im Auftrag verarbeitet. Dann ist ein Auftragsverarbeitungsvertrag erforderlich. Werden Daten in Länder außerhalb der EU übertragen, kommen zusätzliche Anforderungen für den Drittlandtransfer hinzu.