gekennzeichnet.
Die Datenschutzgrundverordnung der EU (DS-GVO) definiert personenbezogene Daten und stellt sie unter einen ganz besonderen, bisher in dieser Form nie dagewesenen Schutz. Doch was genau sind personenbezogene Daten?
Personenbezogene Daten nach DS-GVO
Die DS-GVO definiert hierzu:
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizerbare natürliche Person beziehen.
Begriffsbestimmung nach Art. 4 DSGVO
Es reicht also schon, wenn Daten vorliegen, die es theoretisch erlauben würden, dass man dadurch auf eine bestimmte Person schließen kann. Dabei spielt es keine Rolle, ob eine Instanz alleine oder ein Dritter oder mehrere Stellen zusammen die Identifikation herstellen könnten. Es ist also egal, ob eine reale Identifikation einer natürlichen Person stattgefunden hat oder stattfinden könnte, um die Klassifizierung eines Datums als personenbezogen zu rechtfertigen.
Benutzerprofile
Nimmt man Daten, die ein Benutzer im Internet hinterlässt, wenn er verschiedene Webseiten besucht, dann kommt man sehr schnell zu einer Klassifikation dieser eigentlich anonymen Daten als personenbezogen. Denn mit Hilfe der Firma Google und/oder Facebook und/oder eines Internet Providers könnte die Person wahrscheinlich exakt identifiziert werden. Selbst wenn in einem Haushalt, der genau eine IP-Adresse hat, zwei Computer vorhanden sind, kann aufgrund von Benutzerprofildaten meist eindeutig auf einen der beiden Computer und auf eine konkrete Person geschlossen werden.
Beispiele für personenbezogene Daten
Wenn man sich Beispiele für solche Daten anschaut, scheint es, als wären fast alle Daten personenbezogen, in dem Sinn, den die DS-GVO definiert. Hier einige Beispiele:
- Positionsdaten
- Email-Adressen
- IP-Adressen
- Name und Anschrift
- Vorname und Nachname (falls es nur eine Person mit diesem Namen gibt oder weitere, ansonsten möglicherweise nebensächliche Informationen vorliegen, die in Kombination auf eine einzelne Person schließen lassen
- Strasse, Hausnummer und Ort, falls dort nur eine Person wohnt
- KFZ-Kennzeichen (Autoinhaber)
- Telefonnummer (Anschlussinhaber)
- Bankverbindung
- Benutzerkonto (Benutzername plus Dienst, zu dem das Benutzerkonto gehört)
- Bild einer Person
- Bild mit mehreren Personen, auf dem eine Person markiert ist oder besonders hervorsticht oder in Kombination mit anderen vorliegenden Daten identifiziert werden kann
- Unterschrift
- Zugfahrkarte, insbesondere, wenn sie mit einem elektronischen Zahlungsmittel bezahlt wurde oder die zahlende Person bei der Bezahlung von einer Sicherheitskamera gefilmt wurde
Da man oft nicht ad hoc weiß, ob eine Information genau auf eine Person schließen lässt oder mehreren Personen oder Mitarbeitern zugeordnet werden kann, muss man vom ungünstigsten Fall ausgehen. Im Falle der Angabe einer Straße samt Hausnummer und Ort ist also ad hoc anzunehmen, dass es sich um eine personenbezogene Information handelt. Das Gegenteil zu beweisen, dürfte zumindest sehr zeitaufwändig und bei Vorliegen von sehr vielen Datensätzen dieser Art nicht durchfühbar sein.
Für das o.g. Beispiel des Zugtickets wird man schlecht wissen, ob der Käufer von einer Kamera beim Bezahlvorgang gefilmt wurde. Daher muss man auch beim Zugticket von personenbezogenen Daten ausgehen. Als Grundregel sollte man alle Daten, die eindeutige Informationen enthalten könnten, als personenbezogen werten, wenn sie nicht selbst (und nachweislich ohne Personenbezug) generiert wurden.
Im Zweifel sollte von einem Personenbezug ausgegangen werden. Dies gilt vor allem beim Einsatz von Tools auf Webseiten und der Frage, ob Tracking vorliegt oder nicht.
Urteil des BGH
Der BGH hat Ende des Jahres 2025 ein Urteil zu personenbezogenen Daten erlassen (BGH-Urteil vom 18.11.2025, I ZR 115/25) und sich mit Art. 4 und Art. 15 der DSGVO auseinandergesetzt.
Der BGH folgerte, dass personenbezogene Daten nur dann vorliegen, wenn sie mit einer bestimmten Person verknüpft sind. Es reicht also nicht aus, wenn allgemeine Informationen Auswirkungen auf eine Person haben. Konkret hatte der BGH zum Beitragsverlauf eines Krankenversicherungsvertrags zu entscheiden.
Kernaussagen dieses Beitrags
Personenbezogene Daten sind Informationen, die auf eine bestimmte Person zurückgeführt werden können.
Es reicht schon, wenn die Daten theoretisch zur Identifizierung einer Person genutzt werden könnten.
Viele Daten, die wir im Internet hinterlassen, sind deshalb personenbezogen, auch wenn sie anonym erscheinen.
Daten können personenbezogen sein, auch wenn sie anonym erscheinen.
Es ist schwer, das Gegenteil von personenbezogenen Daten zu beweisen.
Daten, die eine Person eindeutig identifizieren können, sind wahrscheinlich personenbezogen.
Im Zweifel sollte man davon ausgehen, dass Daten personenbezogen sind.
Mein Name ist Klaus Meffert. Ich bin promovierter Informatiker und beschäftige mich seit über 30 Jahren professionell und praxisbezogen mit Informationstechnologie. In IT & Datenschutz bin ich auch als Sachverständiger tätig. Ich stehe für pragmatische Lösungen mit Mehrwert. Meine Firma, die 