Die DSGVO gilt, sobald Sie personenbezogene Daten verarbeiten. Aber was zählt genau dazu? Viele denken nur an Name und Adresse. Tatsächlich ist der Begriff viel weiter: jedes Datum, das sich einer Person zuordnen lässt, zählt. Wer das erkennt, weiß, wann die Datenschutzregeln greifen.
Die Definition: einer Person zuordenbar
Ein personenbezogenes Datum ist jede Information über eine identifizierte oder identifizierbare natürliche Person. "Identifizierbar" ist weit: auch wenn Sie jemanden erst mit Zusatzinformation zuordnen können, zählt es.
Es geht also nicht nur um direkte Daten wie den Namen, sondern auch um indirekte: eine Kombination aus Geburtsdatum, Postleitzahl und Geschlecht kann eine Person eindeutig machen, auch ohne Namen.
Beispiele, die oft vergessen werden
Neben Name, Adresse und E-Mail zählen auch diese Daten:
- IP-Adresse und Cookie-ID: einem Gerät und damit oft einer Person zuordenbar.
- Kfz-Kennzeichen: mit einem Halter verknüpft.
- Fotos und Video: auf denen jemand erkennbar ist.
- Standortdaten: wo jemand war und wann.
- Personalnummer und Steuer-ID: eindeutige Kennungen.
- Stimme und Handschrift: können zu einer Person führen.
Besondere und strafrechtliche Daten
Manche personenbezogenen Daten sind besonders sensibel: Gesundheit, rassische oder ethnische Herkunft, Religion, politische Meinung, Gewerkschaftszugehörigkeit, sexuelle Orientierung und Biometrie. Dafür gelten strengere Regeln.
Auch Daten über Straftaten genießen zusätzlichen Schutz. Treffen Sie auf solche Daten, behandeln Sie sie mit besonderer Sorgfalt und teilen Sie sie nur über freigegebene Kanäle.
So verankern Sie das in Ihrem Awareness-Programm
Erkennung ist die Kernkompetenz; richten Sie Ihr Programm auf die Frage 'wann gilt die DSGVO?'.
- Lassen Sie Mitarbeitende in kurzen Übungen Beispiele einordnen: personenbezogenes Datum oder nicht.
- Nutzen Sie Beispiele aus dem eigenen Arbeitsalltag, etwa eine Excel mit E-Mail-Adressen, ein Foto oder ein IP-Log.
- Wiederholen Sie per Microlearning, denn Erkennung verblasst ohne Übung.
- Bieten Sie Vertiefung je Zielgruppe über unseren Kurskatalog.
Verwandte Artikel
- Was ist die DSGVO? Die Grundlagen in verständlicher Sprache
- Besondere Kategorien: zusätzlicher Schutz, strengere Regeln
FAQ
Ist eine geschäftliche E-Mail-Adresse ein personenbezogenes Datum?
Meist ja. Eine Adresse wie vorname.nachname@firma.de ist einer Person zuordenbar und fällt damit unter die DSGVO. Eine allgemeine Adresse wie info@firma.de in der Regel nicht.
Ist eine IP-Adresse ein personenbezogenes Datum?
Ja, in der Regel. Eine IP-Adresse ist einem Gerät und damit oft einer Person zuordenbar, besonders zusammen mit anderen Daten. Die DSGVO behandelt sie daher als personenbezogenes Datum.
Fallen Daten Verstorbener unter die DSGVO?
Nein, die DSGVO gilt nur für lebende Personen. Beachten Sie jedoch: nationale Regeln oder Berufsgeheimnisse können dennoch Schutz bieten, und Daten Verstorbener können zugleich Daten Lebender enthalten.
Sind anonymisierte Daten noch personenbezogen?
Echt anonymisierte Daten, die sich keiner Person mehr zuordnen lassen, fallen nicht unter die DSGVO. Pseudonymisierte Daten schon, denn sie sind mit Zusatzinformation noch zuordenbar.
Zählt eine Kombination einzelner Daten?
Ja. Einzelne Daten mögen harmlos wirken, aber eine Kombination wie Geburtsdatum, Postleitzahl und Geschlecht kann eine Person eindeutig identifizieren. Dann gelten die Datenschutzregeln uneingeschränkt.