Ein mittelständischer Fachhändler beliefert ausschließlich andere Unternehmen. Im Warenwirtschaftssystem stehen die Firmenbezeichnung des Kunden, eine zentrale Telefonnummer und die Kontaktdaten des zuständigen Einkäufers. Dazu kommen Lieferadressen, Namen von Warenempfängern, Gesprächsnotizen des Vertriebs und Angaben zu Reklamationen. Im Unternehmen entsteht schnell der Eindruck, die DSGVO spiele hier kaum eine Rolle – schließlich handele es sich fast nur um Geschäftskunden und damit um „Firmendaten“.
Bei näherer Betrachtung zeigt sich ein anderes Bild: Die Firma als juristische Person ist zwar keine betroffene Person. Der Einkäufer, dessen geschäftliche E-Mail-Adresse gespeichert wird, ist es dagegen sehr wohl. Dasselbe gilt für den Mitarbeiter im Wareneingang, den Geschäftsführer eines Einzelunternehmens, den Ansprechpartner beim Lieferanten und den Vertriebsmitarbeiter, über dessen Leistung CRM-Auswertungen erstellt werden. Selbst eine Notiz wie „Herr Müller reagiert empfindlich auf Preiserhöhungen und entscheidet meist erst nach Rücksprache mit dem Inhaber“ ist ein personenbezogenes Datum – sie beschreibt einen Menschen und steuert künftig das Verhalten ihm gegenüber. Der Fall zeigt ein typisches Missverständnis: Betroffene Person ist nicht zwingend der Kunde oder Rechnungsempfänger, sondern jeder identifizierte oder identifizierbare Mensch, auf den sich eine verarbeitete Information bezieht. Diese Einordnung ist der Ausgangspunkt für nahezu alle weiteren Pflichten der DSGVO – von der Rechtsgrundlage über die Informationspflichten bis zum Verzeichnis von Verarbeitungstätigkeiten. Wer Ansprechpartner bei Geschäftskunden nicht als betroffene Personen erkennt, dem fehlen sie in der Regel genau dort.
Die gesetzliche Definition
Art. 4 Nr. 1 DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen Diese Person nennt die DSGVO „betroffene Person“. Identifizierbar ist jemand insbesondere dann, wenn er sich unmittelbar oder mittelbar mithilfe eines Merkmals erkennen lässt – etwa über Namen, Kennnummern, Standortdaten, Online-Kennungen oder Merkmale der körperlichen, wirtschaftlichen oder sozialen Identität. In der Praxis lohnt es sich, diese Elemente nicht getrennt zu betrachten: Dieselbe Information kann für ein Unternehmen personenbezogen sein, für einen anderen Empfänger unter Umständen nicht mehr, weil die konkrete Verarbeitungssituation und die realistisch verfügbaren Identifizierungsmöglichkeiten entscheiden.
„Alle Informationen“ ist bewusst weit gefasst
Bei personenbezogenen Daten denkt man zuerst an Namen, Anschriften oder Geburtsdaten. Der Begriff reicht aber deutlich weiter und umfasst auch Meinungen, Vermutungen, Bewertungen, Prognosen, technische Protokolldaten, Fotos, Sprachaufzeichnungen oder automatisch berechnete Scores. Der Europäische Gerichtshof betont, dass eine Information weder bewiesen noch objektiv richtig sein muss, um personenbezogen zu sein. Steht in einer Personalakte „Herr König arbeitet unzuverlässig und eignet sich nicht für Kundenprojekte“, bleibt das datenschutzrechtlich eine Information über Herrn König – ob sie richtig ist, entscheidet nur darüber, ob sie berichtigt oder gelöscht werden muss, nicht darüber, ob sie personenbezogen ist. Im Fall Nowak hat der EuGH sogar entschieden, dass die Antworten eines Prüflings in einer Klausur ebenso wie die Korrekturanmerkungen des Prüfers personenbezogene Daten des Prüflings sind. Für Unternehmen bedeutet das: Arbeitsergebnisse, Kundengesprächsbewertungen, Schulungstests oder Zielerreichungsquoten sind regelmäßig personenbezogen, sobald sie Aussagen über die Leistung oder das Verhalten eines bestimmten Mitarbeiters ermöglichen.
Auch technische Daten verlieren ihren Personenbezug nicht dadurch, dass sie von einem System erzeugt wurden. IP-Adressen, Cookie-Kennungen, Login-Namen oder Fahrzeugidentifikationsnummern können personenbezogen sein. Im Fall Breyer entschied der EuGH, dass selbst eine dynamische IP-Adresse für den Betreiber einer Webseite personenbezogen sein kann, wenn dieser rechtliche und realistische Möglichkeiten hat, über den Internetzugangsanbieter zusätzliche Informationen zu erhalten – er muss Namen und Anschrift dafür nicht bereits selbst besitzen. „Technische Daten“ ist also keine Alternative zu „personenbezogene Daten“, sondern beides kann zusammenfallen.
Wann bezieht sich eine Information auf eine Person?
Nicht jede Information, die irgendwie im Umfeld eines Menschen steht, ist automatisch personenbezogen. Nach der Rechtsprechung des EuGH kann sich der nötige Bezug aus dem Inhalt, dem Zweck oder der Auswirkung der Verarbeitung ergeben – und diese drei Anknüpfungspunkte gelten alternativ, nicht kumulativ. Am einfachsten ist der Fall, wenn eine Aussage inhaltlich unmittelbar etwas über die Person sagt, etwa „Der Mitarbeiter ist arbeitsunfähig erkrankt“. Interessanter wird es, wenn eine Information zunächst ein Objekt beschreibt, aber zur Beurteilung eines Menschen verwendet wird: Ein Maschinenprotokoll wie „Bediener 4711 – Produktionsstopp um 10:42 Uhr – falsche Einstellung“ betrifft zunächst die Maschine, bekommt aber einen Personenbezug, sobald die Bedienerkennung einem Mitarbeiter zugeordnet und das Protokoll zur Fehlerkontrolle genutzt wird. Und schließlich kann bereits die mögliche Auswirkung genügen: Standortdaten eines Taxis dienen der Routenoptimierung, lassen aber zugleich erkennen, wann der Fahrer Pausen macht – und können sich damit auf seine Behandlung auswirken. Für die Praxis lohnt sich deshalb nicht nur die Frage „Worüber handelt dieser Datensatz?“, sondern auch „Wozu wird er verwendet, und welche Auswirkungen kann das auf einzelne Personen haben?“
Identifiziert heißt nicht zwingend „beim Namen genannt“
Eine Person ist bereits identifiziert, wenn feststeht, um welchen Menschen es geht – der Name ist dafür nur eine mögliche Form. Auch eine Personalnummer, ein Foto, eine Stimme oder die Formulierung „der einzige Meister in der Filiale Köln“ können eine Person eindeutig bestimmen, ohne dass ein Name fällt. Entscheidend ist nicht, ob Außenstehende die Person sofort erkennen, sondern ob sie im konkreten Unternehmenskontext von anderen unterschieden und individuell behandelt werden kann. Erwägungsgrund 26 DSGVO verlangt dafür eine Betrachtung aller Mittel, die vernünftigerweise zur Identifizierung eingesetzt werden könnten – unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technik. Eine rein theoretische Möglichkeit mit unbegrenztem Aufwand reicht nicht aus. Umgekehrt muss auch nicht jede benötigte Zusatzinformation bereits in einer einzigen Datenbank vorliegen. Eine Auswertung, die nur „männlich, 61 Jahre, Niederlassungsleiter, Standort Regensburg“ nennt, kann in einem Unternehmen mit nur einem Niederlassungsleiter dieses Alters trotzdem eindeutig sein – das Entfernen des Namens allein beseitigt den Personenbezug nicht. Besonders riskant sind Kombinationen aus Berufsbezeichnung und kleinem Standort, Alter und seltener Funktion oder genauem Vorfall und Datum: Je kleiner die betrachtete Gruppe, desto eher lassen scheinbar allgemeine Angaben einzelne Personen erkennen.
„B2B“ bedeutet nicht „ohne Datenschutz“
Juristische Personen wie eine GmbH sind als solche nicht durch die DSGVO geschützt. Erwägungsgrund 14 stellt klar, dass Firmenname, Rechtsform und allgemeine Kontaktdaten einer juristischen Person nicht erfasst werden. Das heißt aber nicht, dass Geschäftskontakte datenschutzfrei sind. Sobald eine E-Mail-Adresse, eine Durchwahl oder eine Mobilnummer einem bestimmten Geschäftsführer oder Ansprechpartner zugeordnet werden kann, handelt es sich um personenbezogene Daten – auch wenn die Person ausschließlich beruflich handelt. Das betrifft Ansprechpartner bei Kunden und Lieferanten ebenso wie Handelsvertreter, Zusteller, Monteure oder Teilnehmer geschäftlicher Veranstaltungen. Bei Einzelunternehmern und Freiberuflern lassen sich geschäftliche und private Angaben ohnehin kaum trennen: „Hausmeisterservice Thomas Klein“ identifiziert unmittelbar Thomas Klein als Menschen, und auch die Tatsache, dass Angaben öffentlich im Internet oder in einem Register stehen, ändert nichts an ihrer Eigenschaft als personenbezogene Daten.
B2B ist nicht automatisch datenschutzfrei: Reine Angaben über ein Unternehmen sind grundsätzlich keine personenbezogenen Daten. Sobald Informationen jedoch einen konkreten Ansprechpartner identifizieren, beschreiben oder bewerten, kann die DSGVO anwendbar sein.
Eine Information kann mehrere betroffene Personen zugleich betreffen
Ein häufiger Fehler besteht darin, einem Dokument reflexhaft nur eine betroffene Person zuzuordnen. Schreibt ein Kunde „Ihr Mitarbeiter Herr Lehmann war gestern unfreundlich, meine Frau kann das bestätigen“, stecken darin potenziell personenbezogene Daten des Kunden selbst, seiner Ehefrau und des Mitarbeiters Lehmann. Eine Personalnotiz wie „Nach Rücksprache mit Frau Schneider halte ich Herrn Wolf nicht für geeignet“ betrifft in erster Linie Herrn Wolf, dokumentiert aber zugleich die Einschätzung von Frau Schneider. Solche Mehrfachbezüge sind vor allem bei Auskunftsersuchen wichtig: Das Recht eines Antragstellers auf Zugang zu seinen Daten darf die Rechte anderer Personen nicht beeinträchtigen – das rechtfertigt aber nicht automatisch, ein ganzes Dokument zurückzuhalten, denn häufig lassen sich Teile schwärzen oder getrennt erläutern.
Pseudonymisierung schützt, hebt den Personenbezug aber nicht auf
Werden personenbezogene Daten so verändert, dass sie ohne zusätzliche, getrennt aufbewahrte Informationen nicht mehr einer Person zugeordnet werden können, spricht man von Pseudonymisierung (Art. 4 Nr. 5 DSGVO) – etwa wenn Mitarbeitern statt ihres Namens eine Kennung wie „M-1847“ zugewiesen wird und eine separate Tabelle die Zuordnung ermöglicht. Für das Unternehmen, das diese Tabelle besitzt, bleiben die Daten personenbezogen. Die Pseudonymisierung ist eine Schutzmaßnahme, keine Befreiung von der DSGVO. Der Europäische Gerichtshof hat am 4. September 2025 im Verfahren EDPS gegen SRB allerdings präzisiert, dass pseudonymisierte Daten nicht für jeden Empfänger gleichermaßen personenbezogen sein müssen: Verfügt ein unabhängiger Empfänger vernünftigerweise über keine Mittel, die Zuordnung aufzuheben oder die Daten mit anderen Informationen zu verknüpfen, können sie aus seiner Perspektive unter Umständen als anonym gelten. Das ist jedoch kein Freibrief – erforderlich ist eine dokumentierte Prüfung des konkreten Empfängers und seiner realistischen Möglichkeiten. Bei einer echten Auftragsverarbeitung ändert sich daran ohnehin nichts: Kann der Verantwortliche selbst die Personen identifizieren, bleiben die Daten auch im Rahmen der Auftragsverarbeitung personenbezogen, selbst wenn der Dienstleister nur mit Kennnummern arbeitet.
Echte Anonymität ist dagegen die Ausnahme und verlangt mehr als das Löschen von Namen. Der Europäische Datenschutzausschuss hat dazu im Juli 2026 neue Leitlinien zur Konsultation gestellt (noch nicht final, Konsultation bis 30. Oktober 2026) und schlägt drei Prüfkriterien vor: Einzelne Datensätze dürfen nicht herausgegriffen, nicht mit anderen Informationen verknüpft und es dürfen keine Informationen über einzelne Personen abgeleitet werden können. Sind alle drei Kriterien erfüllt, gelten Daten als anonym. Ist auch nur eines nicht erfüllt, braucht es eine tiefergehende Kontextprüfung. Eine als „anonyme Mitarbeiterbefragung“ bezeichnete Auswertung mit der Angabe „Abteilungsleiter, 58 Jahre, seit 31 Jahren im Unternehmen, Standort Ulm“ bleibt erkennbar, wenn am Standort nur ein Abteilungsleiter mit diesem Profil arbeitet – die Überschrift allein macht die Daten nicht anonym.
Praktische Konsequenzen für Unternehmen
Die richtige Einordnung betroffener Personen entscheidet darüber, welche Datenbestände überhaupt als schutzbedürftig erkannt werden – und wirkt sich auf Informationspflichten nach Art. 13 und 14 DSGVO, auf Betroffenenrechte, auf die Bewertung von Datenschutzverletzungen und auf Löschkonzepte aus. Wie teuer eine fehlende Sensibilität werden kann, zeigt der Fall H&M: Die Hamburger Datenschutzaufsicht verhängte 2020 ein Bußgeld von rund 35,3 Millionen Euro, weil in einem Servicecenter über Jahre private Lebensumstände von Mitarbeitern erfasst worden waren – von Krankheitssymptomen bis zu religiösen Überzeugungen. Der Fall zeigt ein grundlegendes Organisationsproblem: Informationen aus Rückkehrgesprächen oder beiläufigen Gesprächen landen oft ungeprüft in Notizen, Tabellen oder Führungssystemen, ohne dass Zweck, Zugriff und Speicherdauer ausreichend begrenzt werden.
Für die Praxis lohnt sich deshalb ein einfaches Prüfschema, das sich auf vier Fragen verdichten lässt: Geht es um einen Menschen oder ausschließlich um eine juristische Person? Bezieht sich die Information über Inhalt, Zweck oder Auswirkung auf diesen Menschen? Ist er identifiziert oder – unter realistischen Mitteln betrachtet – identifizierbar? Und aus wessen Perspektive wird das bewertet, insbesondere bei Pseudonymisierung oder Datenübermittlungen an Dritte? Unternehmen, die diese Fragen bei jeder Verarbeitung konsequent stellen, statt pauschal von „Kunden-“ oder „Mitarbeiterdaten“ zu sprechen, schaffen die Grundlage für nahezu alle weiteren Datenschutzmaßnahmen – vom Verzeichnis der Verarbeitungstätigkeiten bis zum Prozess für Auskunftsersuchen.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
