Personenbezogene Daten

Definition: Personenbezogene Daten sind gemäß Art. 4 Nr. 1 der Datenschutz-Grundverordnung (DSGVO) alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar gilt eine Person, die direkt oder indirekt — insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind — identifiziert werden kann. Der Begriff umfasst damit nicht nur offensichtlich persönliche Angaben wie Name, Adresse und Geburtsdatum, sondern auch technische Identifikatoren wie IP-Adressen, Cookie-IDs, Gerätekennungen und Benutzerkonten sowie indirekte Informationen wie Verhaltensprofile, Kaufhistorien oder Standortdaten, die in Kombination miteinander eine Person identifizierbar machen. Der sachliche Anwendungsbereich der DSGVO setzt voraus, dass personenbezogene Daten eine natürliche — nicht eine juristische — Person betreffen. Der Schutzbereich der DSGVO ist damit bewusst weit gefasst, um der technischen Entwicklung Rechnung zu tragen, die immer neue Möglichkeiten der Identifizierung von Personen schafft. Im Online-Marketing sind nahezu alle erfassten Nutzerdaten als personenbezogen einzustufen, was weitreichende Konsequenzen für die Rechtmäßigkeit von Tracking, Targeting und Profiling hat.

Erläuterung

Der Begriff der personenbezogenen Daten ist der zentrale Anknüpfungspunkt des europäischen Datenschutzrechts. Nur wenn Daten einen Personenbezug aufweisen, unterfallen sie dem Schutzbereich der DSGVO und lösen alle daraus resultierenden Pflichten aus. Die Weite des Begriffs ist dabei bewusst konzipiert: Der europäische Gesetzgeber wollte sicherstellen, dass technische Umgehungsversuche nicht ohne Weiteres aus dem Datenschutzrecht herausführen.

Entscheidend für die Frage, ob Daten personenbezogen sind, ist das sogenannte Relativitätsprinzip: Daten sind dann personenbezogen, wenn der Verantwortliche oder ein Dritter mit den ihm vernünftigerweise zur Verfügung stehenden Mitteln in der Lage ist, die Person zu identifizieren. Maßgeblich ist also nicht ein absoluter Standard, sondern der Kontext, in dem die Daten verarbeitet werden. Eine IP-Adresse, die ein Internetanbieter dem Anschlussinhaber zuordnen könnte, ist für eine Website daher ebenfalls als personenbezogen zu behandeln — so hat der Europäische Gerichtshof bereits 2016 im viel beachteten Urteil in der Rechtssache Breyer (C-582/14) entschieden.

Im digitalen Marketing sind personenbezogene Daten allgegenwärtig: Jeder Klick, jede Seitenansicht, jede Transaktion hinterlässt Datenspuren, die mit geeigneten Mitteln einer konkreten Person zugeordnet werden können. Dies betrifft E-Mail-Adressen ebenso wie Nutzungsprofile, Kaufhistorien, Geolokationsdaten und Social-Media-Aktivitäten. Auch scheinbar harmlose technische Daten wie Browser-Fingerprints können personenbezogen sein, wenn sie zur Wiedererkennung von Personen eingesetzt werden. Die Einordnung als personenbezogene Daten hat unmittelbare rechtliche Folgen: Sie setzt eine Rechtsgrundlage für die Verarbeitung voraus, begründet Betroffenenrechte und verpflichtet zum Eintrag ins Verarbeitungsverzeichnis.

Besonders im Kontext von Werbetechnologie und AdTech ist die Einordnung vieler Datenpunkte als personenbezogen von großer praktischer Relevanz. Werbe-IDs wie die Apple IDFA oder die Google Advertising ID, die zur gerätebezogenen Wiedererkennung von Nutzern dienen, sind ebenso als personenbezogene Daten einzustufen wie die aus dem Zusammenspiel von Browsereigenschaften gewonnenen Fingerabdrücke. Dies gilt auch dann, wenn kein direkter Name oder keine E-Mail-Adresse gespeichert wird — entscheidend ist die Möglichkeit der Identifizierung, nicht die tatsächlich vorgehaltene Information.

Kategorien personenbezogener Daten

• Identifikationsdaten: Name, Vorname, Geburtsdatum, Personalausweisnummer, Sozialversicherungsnummer — direkte Identifikatoren einer Person ohne weiteren Kontext.
• Kontaktdaten: Postanschrift, E-Mail-Adresse, Telefonnummer — ermöglichen die direkte Kontaktaufnahme und stellen im Marketing besonders häufig verarbeitete Datenkategorien dar.
• Online-Kennungen: IP-Adressen, Cookie-IDs, Geräte-IDs, Werbe-IDs (IDFA, GAID), Nutzerkonten und Login-Namen auf Plattformen, Session-IDs in Webanwendungen.
• Standort- und Bewegungsdaten: GPS-Koordinaten, Check-in-Daten, WLAN-Verbindungsprotokolle, aus denen Gewohnheiten, Aufenthaltsorte und Bewegungsprofile ableitbar sind.
• Verhaltensdaten: Klickpfade, Suchanfragen, Kaufhistorien, Streaming-Verhalten, App-Nutzungsmuster — indirekte, aber häufig sehr aussagekräftige personenbezogene Daten.
• Besondere Kategorien: Gesundheitsdaten, biometrische Daten, Daten zur religiösen Überzeugung, zur politischen Meinung oder zur sexuellen Orientierung unterliegen einem erhöhten Schutz nach Art. 9 DSGVO und dürfen grundsätzlich nicht verarbeitet werden.

Abgrenzung: Anonyme und pseudonyme Daten

• Anonyme Daten: Daten, bei denen der Personenbezug vollständig und unwiederbringlich aufgehoben wurde, unterfallen nicht der DSGVO. Echte Anonymisierung ist jedoch technisch anspruchsvoll und muss irreversibel sein. Aggregierte Statistiken ohne Rückschlussmöglichkeit auf Individuen gelten als anonym.
• Pseudonyme Daten: Daten, bei denen ein direktes Identifikationsmerkmal durch ein Pseudonym ersetzt wurde, gelten weiterhin als personenbezogen, da eine Re-Identifizierung mit dem zugehörigen Schlüssel möglich ist (Art. 4 Nr. 5 DSGVO). Pseudonymisierung reduziert das Datenschutzrisiko, hebt den Personenbezug aber nicht auf.
• Aggregierte Daten: Statistiken über Gruppen von Personen, bei denen kein Rückschluss auf Individuen möglich ist, sind nicht personenbezogen — vorausgesetzt, die Aggregation ist hinreichend robust und eine De-Aggregation ist nicht möglich.
• Relativität des Personenbezugs: Ob Daten personenbezogen sind, hängt vom jeweiligen Kontext und den verfügbaren Mitteln ab. Daten können für eine Partei anonym, für eine andere aber personenbezogen sein — etwa wenn eine Partei über ergänzende Informationen verfügt, die eine Identifizierung ermöglichen.