Welche Daten gehören zu den personenbezogenen Daten?

Fachbeitrag

Der Begriff der personenbezogenen Daten ist im Bundesdatenschutzgesetz legal definiert. Trotz dieser auf den ersten Blick recht eindeutigen Definition, birgt die konkrete Zuordnung in der Praxis doch erhebliche Schwierigkeiten. Dabei hat die richtige Einordnung von Informationen als personenbezogene Daten weitreichende Konsequenzen für die Praxis…

Bitte beachten Sie das Datum des Beitrags. Unseren aktuellen Artikel „Personenbezogene Daten nach DSGVO einfach erklärt“ finden sie hier.

Definition des Begriffs personenbezogene Daten

Laut § 3 Abs. 1 BDSG handelt es sich bei personenbezogenen Daten um Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Doch an dieser Stelle wird es für den ein oder anderen bereits zu unkonkret: Wann ist eine Person bestimmt und wann erst bestimmbar?

Insoweit hilft die Europäische Datenschutzrichtlinie weiter. Denn nach Art. 2 Buchst. a Richtlinie 95/46/EG wird eine Person als bestimmbar angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind.

Personenbezogene Daten in der Praxis

Im Einzelfall stellt sich die Bestimmung, ob es sich bei Informationen um personenbezogene Daten handelt oder nicht, als äußerst schwierig dar. Grundsätzlich gilt, dass alle Informationen, über die irgendwie ein Personenbezug hergestellt werden kann, auch unter den Begriff der personenbezogenen Daten fallen. Klar zuzuordnen sind der Name, die Telefonnummer sowie Kreditkarten- oder Personalnummern. Aber auch Kontodaten, Kfz-Kennzeichen, das Aussehen, der Gang, die Kundennummer oder die Anschrift zählen zu den personenbezogenen Daten.

Doch auch weniger eindeutige Informationen können einen Personenbezug ermöglichen. Einen vielleicht nicht ganz so eindeutigen Fall hatte der EuGH im Mai diesen Jahres zu entscheiden, in dem es um die Frage ging, ob es sich auch bei Arbeitszeiten um personenbezogene Daten handele. Doch der EuGH stellte klar:

„Aufzeichnungen über die Arbeitszeiten (…), die die Angabe der Uhrzeit, zu der ein Arbeitnehmer seinen Arbeitstag beginnt und beendet, sowie der Pausen bzw. der nicht in die Arbeitszeit fallenden Zeiten enthalten, fallen unter den Begriff personenbezogene Daten (…)“.

Bereits in einer früheren Entscheidung hatte der EUGH betont, dass es sich auch bei Daten, die sich sowohl auf die von bestimmten Rechtsträgern gezahlten Bezüge als auch auf deren Empfänger beziehen, personenbezogene sind, da sie Informationen über eine bestimmte oder bestimmbare natürliche Person darstellen.

Nicht vergessen werden darf an dieser Stelle, dass auch IP-Adressen als personenbezogene Daten angesehen werden.

Besondere personenbezogene Daten

Nicht einfacher wird es, wenn es um die Einordnung in die Kategorie der besonderen personenbezogenen Daten geht, die entsprechend ihrem Namen auch besonders schützenswert sind und deren Verwendung daher höheren Anforderungen unterliegt. Auch wenn diese abschließend in § 3 Abs. 9 BDSG aufgezählt sind, können sich in Einzelfällen Unklarheiten ergeben.

So gehören bereits die Information, dass sich eine Person in medizinischer Behandlung befindet sowie die Anzahl von Krankheitstagen nach Ansicht des Landesbeauftragten für Datenschutz und Informationsfreiheit NRW zu den besonderen personenbezogenen Daten. Eine unberechtigte Kenntniserlangung dieser Daten durch einen Dritten kann folglich eine Mitteilungspflicht nach § 42a BDSG (sog. „Security Breach Notification“) auslösen.

Fazit

Die Einordnung bestimmter Informationen als „personenbezogene Daten“ hat weitreichende Konsequenzen, wie etwa ob der Anwendungsbereich des Datenschutzrechts überhaupt eröffnet ist oder welche Vorschriften einschlägig sind. Daher lohnt sich stets eine genaue Prüfung im Einzelfall.

Eine gute Übersicht zum Begriff der personenbezogenen Daten inkl. vieler Beispiele hat die Artikel 29-Gruppe erstellt. Jemand, der sich mit der Einordnung von Informationen als personenbezogene Daten bestens auskennen sollte, ist Ihr Datenschutzbeauftragter – gut also, wenn Sie einen haben…

Über den Autor

Der Beitrag wurde von Dr. Datenschutz geschrieben. Unsere Mitarbeiter, dies sind in der Regel Juristen mit IT-Kompetenz, veröffentlichen Beiträge unter diesem Pseudonym. mehr →

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Externer Datenschutzbeauftragter

Haben Sie Themen- oder Verbesserungsvorschläge? Kontaktieren Sie uns anonym hier.