Der Umgang mit personenbezogenen Daten ist in der heutigen digitalen Welt von entscheidender Bedeutung. Doch was sind personenbezogene Daten überhaupt?
Gemäß Artikel 4 Nr. 1 der Datenschutzgrundverordnung (DSGVO) handelt es sich bei personenbezogenen Daten um Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und somit zur eindeutigen Identifizierung einer natürlichen Person führen können. Dabei können Betroffene durch direkte oder indirekte Angaben wie Namen, Identifikationsnummern, Standortdaten oder spezielle persönliche Merkmale identifiziert werden.
Jedoch ist die Definition in der Datenschutzgrundverordnung weit gefasst und schließt somit auch Informationen wieTelefonnummern, Kontodaten sowie auch weniger eindeutige Daten wie Arbeitszeiten oder Prüfungsantworten ein. Sogar subjektive Meinungen, religiöse oder weltanschauliche Überzeugungen und andere persönliche Einschätzungen können als personenbezogene Daten betrachtet werden.
Insbesondere in der modernden Datenlandschaft spielen diese Daten eine wichtige Rolle, da ihr Schutz für die Privatsphäre von Einzelpersonen unerlässlich ist. Dabei gilt der Datenschutz ausschließlich für natürliche Personenund umfasst neben den allgemeinen personenbezogenen Daten – besonders sensible Kategorien wie genetische, biometrische und Gesundheitsdaten sowie Informationen zu Herkunft, politischen Ansichten, religiösen Überzeugungen oder der Gewerkschaftszugehörigkeit.
Doch welche Arten personenbezogener Daten gibt es genau und was regelt die DSGVO bezüglich des Schutzes solcher Daten?
Kategorien und Inhalte personenbezogener Informationen
Wie bereits erwähnt, beziehen sich personenbezogene Daten auf jegliche Informationen, die eine identifizierte oder identifizierbare lebende Person betreffen. Selbst Teile von Daten, die gemeinsam genutzt werden können, um eine Person zu identifizieren, gelten als personenbezogene Daten.
Dies gilt im Übrigen auch, wenn personenbezogene Daten anonymisiert, verschlüsselt oder pseudonymisiert werden und dennoch weiterhin zur Identifizierung einer natürlichen Person genutzt werden könnten. In diesem Fall fallen sie weiterhin unter die Datenschutzbestimmungen der Datenschutzgrundverordnung.
Dabei können personenbezogene Daten in verschiedene Kategorien unterteilt werden, die Informationen enthalten, die speziell auf eine Person verweisen. Zu den Arten personenbezogener Daten gehören unter anderem:
- Identifikationsdaten: Dazu zählen Name, Geburtsdatum, Adresse, Telefonnummer, E-Mail-Adresse und Sozialversicherungsnummer.
- Finanz- und Zahlungsdaten: Darunter fallen Informationen wie Kontonummern, Kreditkarteninformationen und finanzielle Transaktionshistorien.
- Gesundheits- und medizinische Informationen: Hierzu gehören Krankengeschichte, medizinische Aufzeichnungen, Versicherungsinformationen sowie sämtliche physischen, physiologischen, genetische und psychischen Daten.
- Biometrische Daten: Fingerabdrücke, Gesichtserkennungsmuster, Retina-Scans und ähnliche eindeutige biologische Merkmale fallen unter personenbezogene Daten.
- Standortdaten: Informationen, die den aktuellen oder vergangenen Standort einer Person angeben, gehören ebenfalls zu den personenbezogenen Daten.
All diese Daten können sich in Datenbanken befinden. Dabei wissen viele Personen überhaupt nicht, was eine Datenbank ist und wie lange ihre persönlichen, sensiblen Daten dort gespeichert werden.
Unabhängig davon, welche Technik zur Verarbeitung personenbezogener Daten verwendet wird, schützt die Datenschutzgrundverordnung diese Informationen. So greifen die Datenschutzregeln sowohl für automatisierte als auch manuelle Verarbeitungsmethoden und Speicherformen wie IT-Systeme, Videoüberwachungen oder Dokumente in Papierform. In allen Fällen gelten stets die Datenschutzbestimmungen der DSGVO.
Konkrete Beispiele für personenbezogene Daten
Um besser zu verstehen, welche Daten genau als personenbezogene Daten bezeichnet werden können, haben wir hier einige konkrete Beispiele:
Name und Vorname einer natürlichen Person
- Anschrift
- E-Mail-Adresse
- Ausweisnummer
- Standortdaten
- IP-Adresse
- Werbekennungen von Telefonen
- Gesundheitsdaten, die in einem Krankenhaus oder bei einem Arzt vorliegen
Beispiele für nicht personenbezogene Daten
Im Gegensatz hierzu gibt es jedoch auch nicht personenbezogene Daten, die keine direkte Verbindung zu einer bestimmten Person aufweisen. Hierbei handelt es sich um Daten, die sich nicht auf eine natürliche Person beziehen.
So gelten die Gesetze und Vorschriften der Datenschutzgrundverordnung nicht für Angaben über juristische Personen wie Gesellschaften, Vereine, Unternehmen, Stiftungen oder andere Organisationen. Stattdessen konzentrieren sich die Datenschutzregelungen ausschließlich auf Daten, die auf lebende individuelle Personen zurückzuführen sind und nicht auf rechtliche Einheiten oder Firmen.
Beispiele für nicht personenbezogene Daten können unter anderem folgende sein:
- Handelsregisternummern von Unternehmen
- E-Mail-Adressen von Vereinen, Organisationen, Gesellschaften oder Unternehmen
- anonymisierte Daten, wie eine anonyme Umfrage zu politischen Ansichten
Die Unterscheidung zwischen personenbezogenen und nicht personenbezogenen Daten ist entscheidend, da sie die Grundlage für Datenschutz und Datensicherheit bildet. Schließlich zielen Gesetze wie die Datenschutzgrundverordnung darauf ab, personenbezogene Daten zu schützen und ihre korrekte Verarbeitung sicherzustellen.
Datenschutzrechtliche Definition einer natürlichen Person
Der Schutz personenbezogener Daten gilt ausschließlich für individuelle lebende Personen. Im Datenschutzrecht wird hierbei von einer “natürlichen Person” gesprochen, womit jede lebende, rechtsfähige Einzelperson gemeint ist. Diese Rechtsfähigkeit und somit auch die rechtliche Sicherheit erlangt jede natürliche Person mit der Geburt und verliert diese wieder mit dem Tod.
Dementsprechend werden Informationen und Daten nur dann als personenbezogen betrachtet, wenn sie sich auf lebende Einzelpersonen beziehen, deren Identifizierung anhand dieser Daten möglich ist. Die Datenschutzgrundverordnung gilt jedoch ausschließlich für die Verarbeitung personenbezogener Daten von EU-Bürgern.
Juristische Personen, wie Unternehmen, Vereine oder Stiftungen hingegen sind nicht inbegriffen und werden somit auch nicht durch die DSGVO geschützt. Darüber hinaus fallen die Bestimmungen des Datenschutzes, die in der DSGVO enthalten sind, gemäß Erwägungsgrund 27 auch nicht auf Daten verstorbener Personen. Eine nationale Regelung durch das Bundesdatenschutzgesetz (BDSG) wurde in diesem Zusammenhang ebenfalls nicht festgelegt.
Kriterien für die Identifizierbarkeit von Personen
Die Identifizierbarkeit von Personen bezieht sich darauf, ob eine Person direkt oder indirekt identifiziert werden kann. In diesem Kontext wird der Begriff “identifiziert” als gleichbedeutend mit “bestimmt” und “identifizierbar” als “bestimmbar” angesehen. Dabei können einige Informationen direkt zur Identifizierung einer spezifischen Person führen, während andere wiederum nur durch zusätzliche Informationen zu einer Identifizierung führen.
- Direkte Identifikation: Wenn die Informationen allein dazu verwendet werden können, eine Person zu identifizieren, wie etwa der vollständige Name oder eine eindeutige Kennnummer, wird eine Person als “identifiziert” betrachtet.
- Indirekte Identifikation: Selbst wenn die Informationen allein nicht zur direkten Identifizierung einer Person ausreichen, könnten sie in Verbindung mit anderen Daten genutzt werden, um eine Person zu identifizieren. In diesem Fall handelt es sich um eine “identifizierbare” Person.
DSGVO und der Schutz personenbezogener Daten
Die Datenschutz-Grundverordnung (DSGVO) ist eine der wichtigsten Rechtsvorschriften im Bereich des Datenschutzes und der Privatsphäre von Personen innerhalb der Europäischen Union. Sie zielt darauf ab, den Schutz personenbezogener Daten zu stärken und die Rechte der Einzelpersonen in Bezug auf ihre Daten zu stärken.
Die DSGVO legt dabei die rechtlichen Rahmenbedingungen für die Erhebung, Verarbeitung und Speicherung personenbezogener Daten fest und verpflichtet Unternehmen und Organisationen, strenge Sicherheitsmaßnahmen zu implementieren, um die Vertraulichkeit und Integrität dieser Daten zu gewährleisten.
Grundsätzlich ist das Speichern sowie die Verarbeitung personenbezogener Daten verboten. Allerdings gibt es einige Fälle, in denen dies ausdrücklich erlaubt ist. Dennoch gilt hier das Gebot der sogenannten “Datensparsamkeit”. Das bedeutet, dass nur die Daten gespeichert und verarbeitet werden dürfen, die dem tatsächlichen Zweck der Verarbeitung dienen. Somit dürfen personenbezogene Daten nur für den Zweck verarbeitet werden, für den eine bestimmte Rechtsgrundlage vorliegt.
In § 6 der Datenschutz-Grundverordnung werden hierbei folgende Rechtsgrundlagen festgelegt:
- Einwilligung: Jeder Person steht das Recht auf informationelle Selbstbestimmung zu. Demnach kann eine Person freiwillig zustimmen, ob ihre Daten verarbeitet werden dürfen oder nicht. Bevor diese Einwilligung erfolgen kann, muss die Person jedoch darüber informiert worden sein, welche Daten für welchen Zweck verwendet werden sollen. Darüber hinaus ist diese Einwilligung jederzeit widerrufbar.
- Vertragsverhältnis: Bei einem Vertragsabschluss werden regelmäßig Daten verarbeitet. In diesem Fall ist die Verarbeitung personenbezogener Daten nach DSGVO gestattet. Dies ist beispielsweise der Fall, wenn eine Person einen Arbeitsvertrag mit einem Arbeitgeber abschließt. Hier darf der Arbeitgeber die Daten seiner Arbeitnehmer in seiner Personalsoftware speichern. Auch das Speichern von Kundendaten, wie der Adresse für die Lieferung, ist erlaubt.
- Berechtigtes Interesse: Besteht ein berechtigtes Interesse, welches stärker als der Schutz der Freiheit des Betroffenen wiegt, dürfen personenbezogene Daten ebenfalls verarbeitet werden. Dies kann zum Beispiel das Überwachen der Internetnutzung sein, um die IT-Sicherheit innerhalb eines Unternehmens sicherzustellen.
- Gesetzliche Verarbeitungsermächtigungen: Für das Erfüllen gesetzlicher Pflichten ist die Verarbeitung personenbezogener Daten ebenfalls gestattet. So verarbeitet beispielsweise das Finanzamt die Finanzdaten aller Bürger für steuerliche Zwecke.
Die Informationspflicht nach DSGVO
Obwohl die Speicherung und Verarbeitung von Personendaten unter bestimmten Umständen und für spezifische Zwecke gestattet ist, gilt die sogenannte Informationspflicht nach §§ 12–14 DSGVO. Hiernach müssen Unternehmen und Organisationen, die personenbezogene Daten speichern und verarbeiten, betroffene Personen umfassend und transparent über die Verarbeitung ihrer personenbezogenen Daten informieren.
Dies umfasst Angaben darüber, wer für die Datenverarbeitung verantwortlich ist, zu welchen Zwecken die Daten verarbeitet werden, welche Kategorien von Daten verarbeitet werden und an wen die Daten weitergegeben werden könnten.
Diese Informationen müssen in klarer und verständlicher Sprache bereitgestellt werden, um den Betroffenen ein umfassendes Verständnis darüber zu ermöglichen, wie ihre Daten verwendet werden und welche Rechte Betroffene bezüglich der Datenverarbeitung haben.
Das Recht auf Auskunft nach der DSGVO
Die DSGVO räumt Einzelpersonen darüber hinaus das Recht ein, von Unternehmen und Organisationen Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu verlangen. Dieses Recht auf Auskunft gemäß § 15 DSGVO ermöglicht es Betroffenen, Informationen darüber zu erhalten, ob, in welchem Umfang und zu welchen Zwecken ihre Daten verarbeitet werden.
Unternehmen müssen innerhalb einer bestimmten Frist auf Anfragen zur Auskunft reagieren und den Betroffenen umfassende Einblicke in die Verarbeitung ihrer personenbezogenen Daten gewähren.
Löschpflicht personenbezogener Daten: Bedingungen und Zeitpunkte
Gemäß § 17 DSGVO haben Betroffene unter bestimmten Umständen außerdem das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen. Diese Bedingungen umfassen unter anderem
- den Widerruf der Einwilligung,
- wenn die Daten nicht mehr für die Zwecke benötigt werden, für die sie erhoben wurden, oder
- wenn die Verarbeitung rechtswidrig erfolgt.
Unternehmen sind grundsätzlich verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern die gesetzlichen Voraussetzungen erfüllt sind. Dies beinhaltet auch die Weitergabe der Löschanforderung an Dritte, sofern die Daten zuvor weitergegeben wurden. Lediglich, wenn gesetzliche Vorschriften bestehen, die eine längere Aufbewahrung der Daten rechtfertigen, kann das Recht auf Löschung außer Kraft gesetzt werden.
Bedeutung des Datenschutzes für personenbezogene Informationen
Bereits seit den 1970er Jahren gibt es in Deutschland Datenschutzgesetze. Doch insbesondere heutzutage kann die Bedeutung des Datenschutzes für personenbezogene Informationen nicht genug betont werden – insbesondere in unserer digitalen Zeit, in der Daten zu einer der wertvollsten Währungen geworden sind.
Personenbezogene Informationen sind äußerst sensibel und persönlich – sie umfassen Daten, die Identitäten, Gewohnheiten, Gesundheit und mehr betreffen. Der Schutz dieser Daten ist daher von grundlegender Bedeutung, um das Recht auf Privatsphäre und die individuelle Autonomie zu wahren.
Mit der digitalen Revolution können mittlerweile riesige Mengen an Daten zu jeder einzelnen Person erfasst, verarbeitet und analysiert werden. Daher wird es auch immer schwieriger zu kontrollieren, wer auf diese Daten zugreifen kann und zu welchen Zwecken diese Daten genutzt werden. Gleichzeitig steigt auch das Risiko von Sicherheitslücken in der IT sowie Cyberangriffen, bei denen gestohlene Daten missbraucht werden können.
Der Datenschutz spielt also eine zentrale Rolle bei der Sicherung personenbezogener Informationen vor Missbrauch, unautorisiertem Zugriff oder Weitergabe. Er dient dazu, das Vertrauen der Einzelpersonen in die Speicherung und Verarbeitung ihrer Daten zu gewährleisten.
Datenschutzbestimmungen, wie die Datenschutz-Grundverordnung in der EU stellen sicher, dass Unternehmen und Organisationen strenge Regeln und Sicherheitsmaßnahmen befolgen, um die Vertraulichkeit, Integrität und Verfügbarkeit der persönlichen Daten zu gewährleisten. Schließlich können unsere persönlichen Daten viel über uns verraten und Angriffsflächen bieten, um uns zu schaden oder zu manipulieren.
Des Weiteren trägt ein effektiver Datenschutz zur Vermeidung von Identitätsdiebstahl, Betrug und Missbrauch bei. Es ermöglicht Einzelpersonen, die Kontrolle über ihre eigenen Daten zu behalten, indem es ihnen das Recht gibt zu wissen, wer auf ihre Informationen zugreift und wie diese verwendet werden.
Datenschutzbestimmungen fördern auch die Transparenz, indem sie Unternehmen und Organisationen dazu verpflichten, klare und verständliche Informationen darüber bereitzustellen, wie und warum personenbezogene Daten verarbeitet werden.
Obwohl zahlreiche Regelungen und Gesetze bestehen, können diese den Missbrauch von Daten nicht vollständig verhindern. Daher ist es umso wichtiger, dass wir verantwortungsbewusst mit unseren eigenen Daten und den Daten anderer umgehen.
FAQ
Unter personenbezogenen Daten versteht man jegliche Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Darunter fallen auch Teilinformationen, die gemeinsam zur Identifikation einer bestimmten oder bestimmbaren natürlichen Person führen können.
Zu den gängigsten personenbezogenen Daten gehören unter anderem folgende:
- Name
- Geburtstag
- Adresse
- Telefonnummer
- Informationen zum Aussehen
- Kreditkartennummer
- Personalnummer
- Kundennummer
- Sozialversicherungsnummer
- Kontodaten und andere Finanzdaten
- Kfz-Kennzeichen
Ja, auch einfache Informationen wie der Vor- und Nachname einer Person gehören zu den personenbezogenen Daten und sind daher ebenfalls schützenswert.
Neben den allgemeinen personenbezogenen Daten gibt es auch die besonderen Kategorien personenbezogener Daten. Hierzu gehören unter anderem:
- rassische und ethnische Herkunft
- genetische Daten
- biometrische Daten
- politische Ansichten
- Gewerkschaftszugehörigkeit
- religiöse oder weltanschauliche Überzeugungen
- Gesundheitsdaten
- Daten zum Sexualleben oder der sexuellen Orientierung
Fazit
In einer Zeit, in der Daten zu einer der wertvollsten Ressourcen geworden sind, ist es entscheidend, zu verstehen, was personenbezogene Daten sind und warum ihr Schutz so bedeutsam ist. Personenbezogene Daten sind oft erforderlich, um Verträge abzuschließen oder um Behörden wichtige Informationen mitzuteilen. Nur durch diese Daten ist eine eindeutige Identifizierung von Personen möglich.
Um einem Missbrauch vorzubeugen, unterliegt diese Datenlandschaft strengen Datenschutzgesetzen – wie der Datenschutz-Grundverordnung (DSGVO) in der EU – die darauf abzielen, die Privatsphäre und Sicherheit von Einzelpersonen zu schützen.
Von der Identifizierbarkeit über den Schutz vor Identitätsdiebstahl bis hin zur Vermeidung von Diskriminierung und Überwachung – die Bedeutung des verantwortungsvollen Umgangs mit personenbezogenen Daten liegt im Schutz der individuellen Rechte und der Sicherheit in einer zunehmend digitalisierten Welt. Daher ist es von größter Wichtigkeit, ein Bewusstsein für den angemessenen Umgang mit personenbezogenen Daten zu schaffen, um das Vertrauen und die Sicherheit in der Nutzung und Verarbeitung dieser Informationen zu gewährleisten.