Glossar · Glossar · DSGVO-Begriffe
Personenbezogene Daten: was dazugehört und wo sie in Dokumenten stecken
Anonimatum-Team
Kurz gesagt
Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare natürliche Person, direkt oder indirekt: ein Name, eine Ausweisnummer, ein Kennzeichen, eine Unterschrift oder eine Kombination von Details.
Die gesamte DSGVO baut auf einem Begriff auf: personenbezogene Daten. Liegt Personenbezug vor, gelten DSGVO und BDSG; sonst nicht. Vor jeder Veröffentlichung, Weitergabe oder Anonymisierung eines Dokuments steht daher die Frage, welche personenbezogenen Daten es enthält.
Die gesetzliche Definition ist bewusst weit. Sie umfasst nicht nur Namen und Ausweisnummern, sondern jede Information, die eine Person erkennbar macht, auch wenn einzelne Angaben für sich harmlos wirken.
Die Definition in Art. 4 Nr. 1 DSGVO
Die DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist, wer direkt oder indirekt identifiziert werden kann, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind.
Wie die Identifizierbarkeit zu prüfen ist, erläutert Erwägungsgrund 26 DSGVO: Maßgeblich sind alle Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, mit Blick auf Kosten, Zeitaufwand und verfügbare Technologie.
Direkte und indirekte Identifikatoren
Direkte Identifikatoren verweisen allein auf eine Person: Vor- und Nachname, Personalausweis- oder Steuer-Identifikationsnummer, Sozialversicherungsnummer, ein Foto des Gesichts. Indirekte Identifikatoren reichen einzeln nicht aus, verraten in Kombination aber viel: Geburtsdatum, Postleitzahl, Beruf, Funktion, Arbeitgeber, Daten eines bestimmten Ereignisses. Ein fiktiver Bericht über „die Stationsleiterin der Kinderstation im Kreiskrankenhaus im Jahr 2024“ identifiziert jemanden, ohne einen Namen zu nennen.
Auch scheinbare Sachangaben können Personenbezug haben. Die Anschrift eines Einfamilienhauses, der Wert eines Grundstücks oder das Kennzeichen eines Dienstwagens sagen etwas über die Menschen aus, die dort wohnen oder das Fahrzeug nutzen. Gleiches gilt für Bewertungen, Notizen und Vermerke in einer Akte: Auch Meinungen und Einschätzungen über eine Person sind Informationen, die sich auf sie beziehen. Entscheidend ist nicht, ob eine Angabe richtig oder vollständig ist, sondern ob sie einer bestimmbaren Person zugeordnet werden kann.
Beispiele für personenbezogene Daten in Dokumenten
| Angabe | Typischer Fundort | Art |
|---|---|---|
| Vor- und Nachname | Briefkopf, Fließtext, Unterschrift, Schreiben | Direkt |
| Ausweis-, Steuer-ID oder Passnummer | Verträge, Anträge, Formulare | Direkt |
| Wohnanschrift | Bescheide, Protokolle, Rechnungen | Direkt oder indirekt |
| Kfz-Kennzeichen | Unfallberichte, Bußgeldbescheide, Urteile | Indirekt |
| Handschriftliche oder digitale Unterschrift | Ende von Verträgen und Bescheiden | Direkt |
| Aktenzeichen oder Patientennummer | Entscheidungen, Arztbriefe | Indirekt |
| Telefon, E-Mail, IBAN | Rechnungen, Gehaltsabrechnungen, E-Mails | Direkt oder indirekt |
| Autor und Organisation in Metadaten | Eigenschaften von PDF oder Word | Direkt |
Einige Kategorien sind besonders geschützt: Gesundheit, ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Sexualleben oder sexuelle Orientierung. Das sind die besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO.
Was keine personenbezogenen Daten sind
- Angaben über juristische Personen, etwa Firma oder Handelsregisternummer einer GmbH (Erwägungsgrund 14). Name und E-Mail einer Mitarbeiterin oder eines Einzelunternehmers sind dagegen personenbezogen.
- Anonyme Informationen oder Daten, die so anonymisiert wurden, dass niemand mehr identifizierbar ist.
- Daten Verstorbener fallen nicht unter die DSGVO (Erwägungsgrund 27); andere Schutzregeln, etwa Berufsgeheimnisse, können weiter gelten.
- Aggregierte Statistiken, aus denen sich keine Einzelperson herausgreifen lässt.
Pseudonymisierte Daten bleiben dagegen personenbezogen: Einen Namen durch einen Code zu ersetzen genügt nicht, wenn jemand die Zuordnungstabelle hat. Den Unterschied erklärt der Eintrag Anonymisierung.
Personenbezogene Daten vor der Weitergabe finden
Eine hundertseitige Akte von Hand zu durchsuchen ist langsam und fehleranfällig, vor allem bei Scans, Stempeln und Anlagen. Anonimatum erkennt Namen, Organisationen, Daten, Adressen, Beträge, Kennzeichen, QR-Codes und Unterschriften mit eigener KI auf EU-Servern sowie Muster wie Ausweisnummern, IBAN, Telefon oder E-Mail. Alles wird vor dem Anwenden geprüft; ein einfacher Einstieg ist es, Ausweisnummern im PDF zu schwärzen.
Häufige Fragen
Ist eine IP-Adresse ein personenbezogenes Datum?
Sie kann es sein. Im Urteil Breyer (C-582/14) hat der Gerichtshof eine dynamische IP-Adresse als personenbezogen angesehen, wenn der Inhaber rechtliche Mittel zur Identifizierung des Nutzers hat.
Ist vorname.nachname@firma.de personenbezogen?
Ja, denn die Adresse bezeichnet eine bestimmte natürliche Person, auch im beruflichen Kontext. Eine Sammeladresse wie info@ ist es in der Regel nicht.
Sind Initialen personenbezogene Daten?
Ja, wenn der Kontext erkennen lässt, wer gemeint ist, was bei Dokumenten mit Datum, Ort oder Funktion häufig der Fall ist.
Können PDF-Metadaten personenbezogene Daten enthalten?
Ja. Autor, Organisation oder letzter Bearbeiter stehen oft in den Dokumenteigenschaften.
Sind Daten von Beschäftigten in Geschäftsunterlagen personenbezogen?
Ja. Namen, Durchwahlen, Unterschriften oder Kürzel von Mitarbeitenden in Verträgen, Protokollen und E-Mails beziehen sich auf bestimmte Personen. Ob sie vor einer Weitergabe entfernt werden müssen, hängt vom Zweck und vom Empfängerkreis ab.
Personenbezogene Daten in Ihren Dokumenten finden
Vergleichen Sie die Tarife und erkennen und entfernen Sie personenbezogene Daten in PDF, Word, Excel und E-Mails, mit menschlicher Prüfung.