In einem kleinen Vertriebsunternehmen wird eine Kundendatenbank genutzt. Neben Name, Telefonnummer und E-Mail-Adresse enthält sie ein Feld mit der Bezeichnung „Bemerkungen“. Dort finden sich Einträge wie „Bevorzugt Pfefferminztee“, „Reagiert empfindlich auf Preisnachlässe“ oder „Befindet sich derzeit in Scheidung“. Ein Mitarbeiter vertritt die Auffassung, dass nur Name und Kontaktdaten unter die DSGVO fallen. Die übrigen Einträge seien bloße Arbeitshilfen und keine „richtigen Daten“.
Genau hier beginnt eines der häufigsten Missverständnisse im Datenschutz. Die DSGVO schützt nicht nur Namen, Adressen und Telefonnummern. Sie erfasst grundsätzlich jede Information, die sich auf eine bestimmte oder bestimmbare natürliche Person bezieht – Tatsachen ebenso wie Einschätzungen, Vermutungen, Bewertungen und aus anderen Informationen gezogene Schlussfolgerungen. Der Vermerk über den Pfefferminztee ist damit ebenso ein personenbezogenes Datum wie die Telefonnummer, und der Hinweis auf eine gesundheitliche Beeinträchtigung kann sogar ein besonders geschütztes Gesundheitsdatum sein.
- Warum diese Einordnung überhaupt wichtig ist
- Die gesetzliche Definition – und warum sie so weit gefasst ist
- Wann sich eine Information wirklich auf eine Person bezieht
- Identifiziert oder identifizierbar: mehr als nur der Name
- Auch scheinbar technische Daten betreffen Menschen
- Besondere Kategorien: wenn Daten sensibel werden
- Pseudonymisierung schaltet die DSGVO nicht ab
- Zusammenfassung
Warum diese Einordnung überhaupt wichtig ist
Der Begriff der personenbezogenen Daten ist das Eingangstor zur DSGVO. Erst wenn personenbezogene Daten verarbeitet werden, greifen die datenschutzrechtlichen Anforderungen – von der Rechtsgrundlage über Informationspflichten bis zu Löschfristen und technischen Schutzmaßnahmen. Sind dagegen ausschließlich Informationen betroffen, die keinen Bezug zu einer natürlichen Person haben, findet die DSGVO auf diese Informationen grundsätzlich keine Anwendung.
Dabei lohnt sich eine saubere Trennung zweier Fragen: Handelt es sich überhaupt um personenbezogene Daten? Und, davon getrennt: Darf das Unternehmen diese Daten verarbeiten? Die erste Frage betrifft nur die Einordnung. Die zweite betrifft Rechtsgrundlage, Zweck und die übrigen Anforderungen der DSGVO. Eine Information, die personenbezogen ist, darf trotzdem verarbeitet werden dürfen – umgekehrt wird eine unzulässige Verarbeitung aber auch nicht dadurch zulässig, dass man die betreffende Information als „interne Notiz“ bezeichnet.
Die gesetzliche Definition – und warum sie so weit gefasst ist
Art. 4 Nr. 1 DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Begriff „Information“ ist dabei bewusst nicht auf Stammdaten oder vertrauliche Angaben beschränkt. Es spielt keine Rolle, ob eine Angabe objektiv oder subjektiv, wahr oder falsch, privat oder geschäftlich ist. Auch Meinungen und Bewertungen wie „Der Kunde ist schwierig“ oder „Eine Beförderung wird nicht empfohlen“ sind personenbezogene Daten – ob die Einschätzung zutrifft, spielt für ihre rechtliche Einordnung zunächst keine Rolle. Der Europäische Gerichtshof hat das im Fall „Nowak“ bestätigt: Nicht nur die Prüfungsantworten eines Kandidaten, sondern auch die Anmerkungen des Prüfers sind personenbezogene Daten.
Ebenso wichtig: Personenbezogene Daten müssen weder vertraulich noch dauerhaft gespeichert sein. Eine öffentlich zugängliche geschäftliche E-Mail-Adresse bleibt personenbezogen, und selbst ein flüchtiges Livebild in einer Videokonferenz oder eine Stimme am Telefon kann darunterfallen. Bereits das Erheben, Anzeigen oder Übertragen mit technischen Mitteln kann eine Verarbeitung im Sinne der DSGVO darstellen.
Wann sich eine Information wirklich auf eine Person bezieht
Nicht jede Information, die irgendwie im Umfeld eines Menschen entsteht, bezieht sich automatisch auf ihn. In der Praxis hat sich eine Prüfung durchgesetzt, die drei mögliche Bezugspunkte unterscheidet: Bezug aufgrund des Inhalts (die Information sagt unmittelbar etwas über die Person aus), Bezug aufgrund des Zwecks (die Information wird genutzt, um eine Person zu beurteilen oder zu kontrollieren) und Bezug aufgrund der Auswirkungen (die Verwendung der Information hat voraussichtlich Konsequenzen für die Person). Ein GPS-Datensatz beschreibt zunächst nur den Standort eines Firmenfahrzeugs – wird er aber genutzt, um zu kontrollieren, wann ein Fahrer Pausen gemacht hat, bezieht er sich auf den Fahrer. Für die Praxis genügt es, wenn eines dieser drei Kriterien erfüllt ist; sie müssen nicht gleichzeitig vorliegen.
Identifiziert oder identifizierbar: mehr als nur der Name
Ein Name ist weder zwingend erforderlich noch immer ausreichend, um eine Person zu identifizieren – „Thomas Müller“ kann ohne weitere Angaben mehrere Personen bezeichnen, während eine Personalnummer eine Person auch ohne Namen eindeutig bestimmen kann. Entscheidend ist, ob die Identität mit zusätzlichen Informationen oder vertretbarem Aufwand ermittelt werden kann. Dabei kommt es nicht nur auf das Wissen des einzelnen Mitarbeiters an: Verfügt die Personalabteilung über eine Zuordnungsliste, mit der sich „Mitarbeiter 4711″ einer Person zuordnen lässt, sind die Daten für das Unternehmen personenbezogen – auch wenn ein Außenstehender nichts damit anfangen könnte. Der Europäische Gerichtshof hat im Fall „Breyer“ sogar entschieden, dass eine dynamische IP-Adresse für einen Webseitenbetreiber personenbezogen sein kann, obwohl nur der Internetprovider die Zuordnung zum Anschlussinhaber vornehmen kann. Es genügt, dass rechtliche und praktische Möglichkeiten bestehen, an diese Zusatzinformation zu gelangen.
Auch scheinbar technische Daten betreffen Menschen
IP-Adressen, Cookie-Kennungen, Geräte-IDs oder Session-IDs wirken anonym, weil sie nicht wie klassische Personenangaben aussehen. Tatsächlich können sie Nutzer, Mitarbeiter oder Kunden eindeutig unterscheiden und mit weiterem Wissen einer Person zuordnen. Der Europäische Gerichtshof hat 2024 entschieden, dass sogar der sogenannte TC-String eines Consent-Management-Systems – eine Zeichenfolge, die Werbepräferenzen codiert – ein personenbezogenes Datum ist, wenn er mit vertretbarem Aufwand einem Nutzer zugeordnet werden kann. Für Unternehmen bedeutet das: Auch Cookie-IDs und Einwilligungsprotokolle gehören regelmäßig in die Datenschutzprüfung einer Webseite.
Dasselbe Prinzip gilt für Daten über Gegenstände. Eine Fahrzeugidentifikationsnummer oder Maschinendaten beziehen sich zunächst auf ein Objekt – sie werden aber personenbezogen, sobald sich der Gegenstand einer Person zuordnen lässt oder zu ihrer Beurteilung genutzt wird. Ein Fahrtenbuch oder Schichtplan genügt häufig, um technische Fahrzeugdaten mit einem bestimmten Mitarbeiter zu verbinden. Auch Metadaten – etwa der Ersteller einer Datei oder ihr Änderungszeitpunkt – werden schnell übersehen, können aber in Verbindung mit einem Namen durchaus etwas über das Verhalten einer Person aussagen, etwa wenn erkennbar wird, dass jemand an einem Feiertag gearbeitet hat.
Besondere Kategorien: wenn Daten sensibel werden
Art. 9 DSGVO stellt bestimmte Datenkategorien unter besonderen Schutz: Informationen über ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheit sowie Sexualleben und sexuelle Orientierung. Ihre Verarbeitung ist grundsätzlich untersagt, sofern nicht eine der eng gefassten Ausnahmen des Art. 9 Abs. 2 DSGVO eingreift.
Gerade bei Gesundheitsdaten wird der Anwendungsbereich häufig unterschätzt: Schon die Information, dass ein Mitarbeiter krank ist, kann ein Gesundheitsdatum sein – eine genaue Diagnose ist nicht erforderlich. Der Europäische Gerichtshof hat 2024 im Fall „Lindenapotheke“ entschieden, dass sogar die Bestellung eines nicht verschreibungspflichtigen, aber apothekenpflichtigen Medikaments ein Gesundheitsdatum sein kann, weil sich daraus Rückschlüsse auf den Gesundheitszustand ziehen lassen. Sensible Merkmale müssen also nicht ausdrücklich benannt werden – es genügt, wenn eine Information sie mit hinreichender Aussagekraft erkennen lässt, etwa der regelmäßige Besuch eines bestimmten Gotteshauses oder die Angabe eines gleichgeschlechtlichen Partners.
Pseudonymisierung schaltet die DSGVO nicht ab
Ein weit verbreiteter Irrtum lautet, verschlüsselte oder pseudonymisierte Daten seien automatisch anonym. Solange ein Unternehmen die Zuordnungsliste oder eine andere realistische Rückführungsmöglichkeit besitzt, bleiben die Daten für dieses Unternehmen personenbezogen. Pseudonymisierung ist vor allem eine Schutzmaßnahme, keine Methode, die DSGVO „abzuschalten“.
Interessant ist hier eine aktuelle Entwicklung: Der Europäische Gerichtshof hat am 4. September 2025 klargestellt, dass pseudonymisierte Daten nicht zwingend für jede beteiligte Stelle personenbezogen sein müssen. Für einen Empfänger kann der Personenbezug fehlen, wenn er über keine vernünftigerweise einsetzbaren Mittel zur Identifizierung verfügt – für den ursprünglichen Verantwortlichen bleiben dieselben Daten aber weiterhin personenbezogen. Eine einfache Möglichkeit, Datensätze durch bloße Weitergabe zu „anonymen Daten“ zu erklären, eröffnet dieses Urteil nicht. Für kleine und mittlere Unternehmen bleibt deshalb ein vorsichtiger Ansatz sinnvoll: Sobald das eigene Unternehmen oder ein realistischer Beteiligter die Zuordnung herstellen kann, sollten die Informationen im betrieblichen Datenschutzmanagement als personenbezogene Daten behandelt werden.
Zusammenfassung
Die Rechtsprechung zeigt immer wieder dasselbe Muster: Es kommt nicht auf die Bezeichnung eines Datenfeldes an, sondern auf den tatsächlichen Informationsgehalt. Auch technische Kennungen, Metadaten und abgeleitete Bewertungen können personenbezogen sein, und der Personenbezug entfällt nicht bereits dadurch, dass ein Name entfernt oder durch einen Code ersetzt wird. Wie teuer eine zu großzügige Auslegung von Freitextfeldern werden kann, zeigt der Fall H&M: Der Hamburgische Datenschutzbeauftragte verhängte gegen das Unternehmen ein Bußgeld von 35,3 Millionen Euro, nachdem Vorgesetzte umfangreiche private Informationen über Mitarbeiter – von Krankheitssymptomen bis zu familiären Streitigkeiten – systematisch dokumentiert und für Mitarbeiterprofile genutzt hatten.
Für die betriebliche Praxis heißt das nicht, dass persönliche Gespräche zwischen Mitarbeitern und Vorgesetzten verboten wären. Problematisch wird es, wenn technisch unbeschränkte Bemerkungsfelder dazu einladen, Informationen festzuhalten, die für den eigentlichen Zweck nicht erforderlich sind. Wer sein Unternehmen wirklich schützen will, sollte deshalb nicht versuchen, alle denkbaren personenbezogenen Daten abstrakt zu erraten, sondern die tatsächlichen betrieblichen Abläufe durchgehen: Welche Dokumente, Systeme und Kommunikationswege sind an einem Vorgang beteiligt, und welche Informationen über welche Menschen entstehen dabei – sichtbar im Eingabefeld ebenso wie unsichtbar in Metadaten und Protokollen? Wer diese Frage für die eigenen Kernprozesse einmal sauber beantwortet, hat den größten Teil der Arbeit bereits erledigt.
Autorin
Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
