Personenbezogene Daten: Definition, Beispiele und Bedeutung

Im Kern des modernen Datenschutzes steht die Frage: Handelt es sich bei den verarbeiteten Daten um personenbezogene Daten? Diese Unterscheidung ist entscheidend, aber in der Praxis nicht immer einfach zu beantworten.

Beispiele für personenbezogene Daten:

In der Geschäftswelt begegnen uns täglich personenbezogene Daten, die eine direkte Zuordnung zu einer bestimmten Person ermöglichen. Hier sind sieben relevante Beispiele:

• Vollständiger Name: Eindeutige Identifikation einer Person, häufig verwendet in Geschäftsdokumenten und Kommunikation.
• E-Mail-Adresse: Insbesondere berufliche E-Mail-Adressen, die den Namen und oft den Arbeitgeber enthalten, ermöglichen eine eindeutige Zuordnung.
• Sozialversicherungsnummer: Ein einzigartiges Identifikationsmerkmal in vielen Ländern.
• Personalausweisnummer: Ein spezifisches und einzigartiges Identifikationsmittel, das direkt einer Person zugeordnet ist.
• Firmeninterne Mitarbeiter-ID: Eindeutige Nummern, die von Unternehmen zur Identifikation ihrer Mitarbeiter verwendet werden.
• Anschrift: Die Wohnadresse einer Person, die eine genaue Lokalisierung ermöglicht.

Personenbezogene Daten, die eine indirekte Identifizierung ermöglichen, sind Informationen, die für sich allein genommen vielleicht keine direkte Identifikation einer Person erlauben, aber in Kombination mit anderen Daten dies ermöglichen können. Hier sind fünf Beispiele:

• Standortdaten: Informationen über den Aufenthaltsort einer Person können indirekt zur Identifizierung führen, besonders wenn sie mit Zeitstempeln und anderen Daten kombiniert werden.
• Browserverlauf: Der Verlauf der Internetnutzung, insbesondere wenn er über längere Zeit gesammelt wird, kann Muster aufzeigen, die eine Identifizierung der Person ermöglichen.
• Arbeitszeiten: Aufzeichnungen über die Arbeitszeiten, einschließlich Beginn, Ende und Pausenzeiten, können in Verbindung mit anderen Arbeitsplatzinformationen zur Identifizierung einer Person führen.
• Einkaufsgewohnheiten: Daten über die Einkaufsgewohnheiten einer Person, wie beispielsweise häufig besuchte Geschäfte oder gekaufte Artikel, können zusammen mit anderen Datenquellen zur Identifizierung beitragen.
• Geräte-IDs: Eindeutige Kennungen von elektronischen Geräten wie Handys oder Computern können in Verbindung mit anderen Daten wie Standortdaten oder Nutzungsprofilen zur Identifizierung einer Person führen.

Diese Beispiele verdeutlichen, wie scheinbar harmlose Daten in Kombination mit anderen Informationen zur Identifizierung einer Person führen können, was unter die Bestimmungen der DSGVO fallen kann.

Diese Liste lässt sich beliebig fortsetzen. Im Kern kann man sagen, dass es Daten sind, die eine Person identifizieren können.

Besondere Kategorien personenbezogener Daten

In der Geschäftswelt begegnen uns verschiedene Arten von personenbezogenen Daten, von denen einige aufgrund ihrer Sensibilität als „besondere Kategorien personenbezogener Daten“ nach Art. 9 DSGVO gelten. Hier sind drei Beispiele für solche Daten:

• Gesundheitsdaten: Informationen über die physische oder psychische Gesundheit einer Person, einschließlich der Vergangenheit, Gegenwart oder Zukunft ihres Gesundheitszustands. Dies könnte ärztliche Diagnosen, Krankengeschichten oder Informationen über eine Behandlung oder Betreuung umfassen.
• Daten zur kulturellen oder ethnischen Herkunft: Dies beinhaltet Informationen, die auf die Rasse, Ethnizität oder Herkunft einer Person hinweisen. Diese Daten sind oft sehr sensibel, da sie zu Diskriminierung führen könnten und daher besonders geschützt sind.
• Daten zum Sexualleben oder der sexuellen Orientierung: Diese umfassen Informationen über die sexuelle Orientierung oder das Sexualleben einer Person. Solche Daten sind privat und sensibel, und ihre Verarbeitung ist unter besonderen Umständen reglementiert.

Die Verarbeitung dieser Kategorien von personenbezogenen Daten ist grundsätzlich verboten, es sei denn, es liegt eine ausdrückliche Einwilligung der betroffenen Person vor oder es gibt eine andere rechtliche Grundlage, die eine solche Verarbeitung erlaubt. Der Schutz dieser sensiblen Daten ist ein zentraler Bestandteil des Datenschutzrechts.

Beispiele für keine personenbezogene Daten:

In Unternehmen gibt es viele Daten, die nicht als personenbezogene Daten gelten. Hier sind fünf Beispiele aus der Praxis:

• Geschäftliche Finanzdaten: Informationen wie Umsatz, Gewinn und Ausgaben, die sich auf das Unternehmen als Ganzes beziehen und nicht mit einzelnen Personen in Verbindung gebracht werden können.
• Allgemeine Marktdaten: Informationen über Branchentrends, Marktforschungsdaten oder allgemeine Wirtschaftsdaten, die keine spezifischen Informationen über einzelne Personen enthalten.
• Inventarlisten: Listen oder Aufzeichnungen, die Informationen über das Inventar eines Unternehmens enthalten, wie z.B. die Anzahl und Art der verfügbaren Produkte, Geräte oder Ressourcen. Diese Daten beziehen sich auf materielle Güter des Unternehmens und nicht auf einzelne Personen.
• Unternehmensstrategien und -pläne: Dokumente, die die strategischen Pläne, Ziele oder Initiativen eines Unternehmens beschreiben. Dazu können Geschäftspläne, Marketingstrategien oder Entwicklungspläne gehören, die keine direkten Informationen über individuelle Personen enthalten.
• Daten zur Website-Nutzung (ohne Nutzeridentifikation): Dies könnten beispielsweise allgemeine Statistiken zur Anzahl der Besuche auf der Unternehmenswebsite sein, ohne dass die Besucher dabei identifiziert werden. Solche Daten geben Aufschluss über das Nutzerverhalten auf der Website als Ganzes, ohne personenbezogene Details zu offenbaren.

Diese Beispiele zeigen, dass nicht alle in einem Unternehmen verarbeiteten Daten personenbezogen sind. Es ist wichtig, zwischen personenbezogenen und nicht-personenbezogenen Daten zu unterscheiden, um den Datenschutzvorschriften korrekt nachzukommen.

Checkliste zur Identifikation, ob es sich um personenbezogene Daten handelt:

Um personenbezogene Daten zu erkennen, können Sie die folgende Checkliste verwenden:

• Identifikation einer Einzelperson: Überprüfen Sie, ob die Daten eine natürliche Person direkt oder indirekt identifizieren können.
• Art der Informationen: Bewerten Sie, ob die Daten Informationen über eine Person enthalten. Dazu gehören nicht nur Kontaktinformationen, sondern auch Daten über physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Aspekte einer Person.
• Kontext der Datenerhebung und -verarbeitung: Berücksichtigen Sie den Kontext, in dem die Daten erhoben und verarbeitet werden. Wenn Daten in einem Kontext gesammelt werden, in dem sie mit einer spezifischen Person in Verbindung gebracht werden können (z.B. Mitarbeiterdaten in einem Unternehmen), sind sie wahrscheinlich personenbezogen.
• Kombinationsmöglichkeiten mit anderen Daten: Überlegen Sie, ob die Daten in Kombination mit anderen verfügbaren Informationen zur Identifizierung einer Person führen können. Manchmal sind Daten für sich genommen nicht personenbezogen, können aber in Kombination mit anderen Daten eine Person identifizieren.

 Es ist wichtig, bei der Verarbeitung von Daten stets sorgfältig zu prüfen, ob sie personenbezogen sind, um die Einhaltung von Datenschutzgesetzen wie der DSGVO sicherzustellen.

Fazit

Als Fazit lässt sich festhalten, dass Datenschutz in der Geschäftswelt ein allgegenwärtiges Thema ist, welches eng mit der Verarbeitung von Daten natürlicher Personen verbunden ist. Die DSGVO und ähnliche Datenschutzgesetze zielen darauf ab, die Privatsphäre von Individuen zu schützen, indem sie die Art und Weise regulieren, wie personenbezogene Daten erhoben, verarbeitet und gespeichert werden.

In der Geschäftswelt begegnen uns fast täglich personenbezogene Daten. Ob es sich um Kundendaten, Mitarbeiterinformationen oder Daten von Geschäftspartnern handelt, fast jede Interaktion in einem Unternehmen kann personenbezogene Daten beinhalten. Dazu gehören direkt identifizierbare Informationen wie Namen und Adressen, aber auch indirekt identifizierbare Daten wie IP-Adressen oder Arbeitszeiten.

Da Unternehmen in der Regel eine Vielzahl solcher Daten verarbeiten, ist ein bewusster und regelkonformer Umgang mit diesen Informationen unerlässlich. Dies nicht nur, um gesetzlichen Anforderungen zu genügen, sondern auch, um das Vertrauen von Kunden und Mitarbeitern zu wahren. Ein effektives Datenschutzmanagement ist daher nicht nur eine rechtliche Verpflichtung, sondern auch ein wichtiges Element des Risikomanagements und der Unternehmensethik.

Datenschutz ein integraler Bestandteil der Geschäftspraxis, der sowohl die Einhaltung gesetzlicher Bestimmungen als auch den Schutz und das Vertrauen der betroffenen Personen sicherstellt.