Welche Angaben gehören dazu?
Typische Beispiele sind Name, Anschrift, Geburtsdatum, Kontodaten und personenbezogene Vertragsinformationen. Auch Bewertungen, Gesprächsnotizen, Standortverläufe oder Angaben zum Verhalten können erfasst sein. Dabei ist unerheblich, ob eine Information objektiv richtig oder subjektiv eingeschätzt ist. Eine falsche Kundenbewertung verliert durch ihre Unrichtigkeit nicht ihren Personenbezug. Angaben über eine Gesellschaft können zugleich Menschen betreffen, etwa einen namentlich bezeichneten Geschäftsführer. Dagegen betrifft eine reine Unternehmenskennzahl ohne Bezug zu einer natürlichen Person nicht automatisch personenbezogene Daten.
Was bedeutet mittelbare Identifizierbarkeit?
Ein Datensatz kann personenbezogen sein, obwohl der Name darin fehlt. Entscheidend ist, ob die Person mit Mitteln identifiziert werden kann, deren Einsatz vernünftigerweise zu erwarten ist. Dabei spielen beispielsweise verfügbares Zusatzwissen, Aufwand, Kosten und technische Möglichkeiten eine Rolle. Eine bloß theoretisch vorstellbare Identifizierung genügt nicht in jedem Fall. Umgekehrt verhindert das Entfernen einer Namensspalte den Personenbezug nicht zuverlässig, wenn seltene Merkmalskombinationen oder zugängliche Vergleichsdaten eine Zuordnung ermöglichen. Die Prüfung muss den tatsächlichen Verarbeitungskontext berücksichtigen.
Pseudonymisierung und Anonymisierung unterscheiden
Bei einer Pseudonymisierung werden unmittelbare Kennzeichen beispielsweise durch Codes ersetzt. Zusatzinformationen ermöglichen häufig weiterhin eine Zuordnung und müssen gesondert geschützt werden. Für eine Stelle, die den Zuordnungsschlüssel besitzt, bleiben die Daten grundsätzlich personenbezogen. Wirksam anonymisierte Informationen lassen dagegen unter Berücksichtigung realistischer Identifizierungsmöglichkeiten keinen Personenbezug mehr zu. Diese Abgrenzung ist keine reine Frage der Dateibezeichnung. Eine als anonym bezeichnete Tabelle kann weiterhin identifizierbare Personen enthalten, während ausreichend abgesicherte Informationen für einen bestimmten Empfänger anders einzuordnen sein können.
EuGH-Urteil zur Empfängerperspektive
Am 4. September 2025 entschied der Europäische Gerichtshof, C‑413/23 P, dass pseudonymisierte Daten nicht zwangsläufig für jeden Empfänger personenbezogen sind. Maßgeblich sind insbesondere dessen realistische Möglichkeiten zur Identifizierung und wirksame Schutzmaßnahmen. Das Urteil betrifft unmittelbar das Datenschutzrecht der EU-Organe nach der Verordnung 2018/1725 und erläutert den mit der DSGVO übereinstimmenden Identifizierbarkeitsbegriff. Es erklärt pseudonymisierte Daten nicht pauschal für anonym. Für den Verantwortlichen mit Zuordnungsmöglichkeit können sie weiterhin personenbezogen sein; seine Informationspflichten bei der Erhebung werden dadurch nicht rückwirkend beseitigt.
Besonders geschützte Informationen
Gesundheitsdaten, bestimmte biometrische Daten sowie Informationen etwa über religiöse Überzeugungen gehören zu besonderen Kategorien nach Artikel 9 DSGVO. Ihre Verarbeitung benötigt neben der allgemeinen Rechtmäßigkeit eine einschlägige Ausnahme vom dortigen Verbot. Nicht jede Fotografie ist bereits ein biometrisches Datum dieser Kategorie; hierfür kommt es auf die besondere technische Verarbeitung zur eindeutigen Identifizierung an. Strafrechtliche Verurteilungen und Straftaten unterliegen eigenen Regeln. Die Einstufung entscheidet damit auch über zusätzliche Anforderungen an Zugriffsrechte, Rechtsgrundlagen und organisatorische Schutzmaßnahmen.
Wie lässt sich der Personenbezug prüfen?
Zunächst sollten Inhalt, Zweck und mögliche Auswirkungen der Information betrachtet werden. Anschließend ist zu klären, wer welche Zusatzdaten besitzt oder realistischerweise beschaffen kann. Bei einer Weitergabe sind Absender und Empfänger nicht ohne Prüfung gleichzusetzen. Technische Schutzmaßnahmen, vertragliche Beschränkungen und tatsächliche Zugriffsmöglichkeiten gehören dokumentiert. Diese Bewertung sollte bei neuen Datenquellen oder erweiterten Analyseverfahren überprüft werden. Gerade die Kombination ursprünglich unscheinbarer Informationen kann eine Identifizierbarkeit schaffen, die bei isolierter Betrachtung der einzelnen Angaben noch nicht erkennbar war. Die Bewertung ist zu dokumentieren, damit Annahmen über verfügbares Zusatzwissen und wirksame Schutzmaßnahmen auch später nachvollziehbar bleiben.