Personenbezogene Daten sind für Unternehmen zunehmend wertvoller geworden, da sie sie verwenden können, um ihre eigenen Aktivitäten zu informieren und sie dann an Werbetreibende und andere Dritte zu verkaufen.

Die DSGVO setzte neue Standards für den Datenschutz und begrenzte, was Unternehmen mit den von ihnen verarbeiteten Daten tun konnten.

Um DSGVO-konform zu sein, müssen Organisationen verstehen, ob die von ihnen verarbeiteten Informationen als personenbezogene Daten eingestuft werden können.

DSGVO personenbezogene Daten

Gemäß DSGVO gelten personenbezogene Daten als alle Informationen, die sich auf eine identifizierbare Person beziehen, entweder direkt oder indirekt. Beispiele umfassen eine Kundennummer, IP-Adresse, Telefonnummer oder Kreditkartennummer, Standort- oder biometrische Daten.

Die obigen Beispiele sind relativ einfache Beispiele für Daten, die zur Identifizierung einer Person verwendet werden können. Es gibt jedoch auch andere Arten von Daten, wie Namen, ethnische Zugehörigkeit, Geschlecht und politische oder religiöse Zugehörigkeit, die mit anderen Daten kombiniert werden könnten – wie z. B. einer Adresse –, um eine Person zu identifizieren. Diese Arten von Daten machen eine Person identifizierbar und fallen daher auch unter die Definition von personenbezogenen Daten gemäß DSGVO.

Zum Beispiel ist ein Name wie John Smith möglicherweise kein eindeutiger Identifikator einer Person. Wenn er jedoch mit ihrer Telefonnummer kombiniert wird, ist klar, welcher John Smith gemeint ist.

Das bedeutet, dass dieselben Informationen von einer Organisation als personenbezogene Daten eingestuft werden können, von einer anderen jedoch nicht. Ein Jobtitel allein kann beispielsweise keine Daten sein, die eine Person identifizieren. Aber wenn der Name der Organisation auch gesammelt wird und es nur eine Person mit diesem Jobtitel in der Organisation gibt, könnte dies bedeuten, dass die Person identifiziert werden kann.

Wenn Organisationen also überlegen, ob die von ihnen verarbeiteten Informationen als personenbezogene Daten eingestuft werden können, müssen sie alle Möglichkeiten in Betracht ziehen, wie die Informationen zur Identifizierung dieser Person verwendet werden könnten.

Nachfolgend finden Sie einige Beispiele, die Ihnen helfen sollen, welche Daten als personenbezogene Daten gemäß DSGVO eingestuft werden können.

Was als personenbezogene Daten gilt:

• Namen
• Geburtsdaten
• Physische Adressen
• Telefonnummern
• E-Mail-Adressen
• IP-Adressen und Cookie-Identifikatoren
• Radio-Frequenz-Identifikation (RFID) Tags
• Identifikationsnummern wie Führerschein- oder Reisepassnummern
• Standortdaten wie GPS
• Video-/Audioaufnahmen und Fotos
• Bankkontonummern
• Kartenzahlungsdaten
• Strafregister
• Medizinische Aufzeichnungen und Versicherungsdaten
• Religiöse oder politische Zugehörigkeit
• Ethnische Daten
• Genetische und biometrische Daten
• Gewerkschaftsmitgliedschaften
• Daten des aktuellen oder früheren Arbeitgebers

Was nicht als personenbezogene Daten gilt:

• Daten im Zusammenhang mit Verstorbenen
• Ungenaue Daten, die nicht einer Person zugeordnet werden können
• Informationen über juristische Personen

DSGVO sensible personenbezogene Daten

Nach der DSGVO gelten einige personenbezogene Daten als sensibel und unterliegen spezifischen Verarbeitungsbedingungen. Beispielsweise kann die Verarbeitung dieser Daten aus Gründen im Zusammenhang mit rechtlichen Ansprüchen oder der öffentlichen Gesundheit erforderlich sein.

Personenbezogene Daten gelten als sensibel, wenn sie Folgendes offenbaren:

• rassische oder ethnische Herkunft
• politische Meinungen
• religiöse oder philosophische Überzeugungen
• das Sexualleben oder die sexuelle Orientierung einer Person
• Gewerkschaftsmitgliedschaft
• genetische oder biometrische Daten
• gesundheitsbezogene Daten