Was sind personenbezogene Daten laut DSGVO?

Personenbezogene Daten im Sinne der DSGVO sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören offensichtliche Angaben wie Name und Adresse ebenso wie technische Merkmale, die eine indirekte Identifizierung ermöglichen. Dieser Artikel beantwortet die wichtigsten Fragen rund um personenbezogene Daten, ihre Kategorien, Rechtsgrundlagen und die praktische Prüfung auf Websites.

Welche Arten von Daten gelten als personenbezogen?

Als personenbezogen gelten alle Daten, die eine natürliche Person direkt oder indirekt identifizierbar machen. Der Begriff ist bewusst weit gefasst: Er umfasst nicht nur klassische Identifikationsmerkmale, sondern auch technische, wirtschaftliche, physiologische oder soziale Merkmale, die allein oder in Kombination eine Zuordnung zu einer bestimmten Person ermöglichen.

Typische Beispiele für personenbezogene Daten sind:

• Direkte Identifikatoren: Vor- und Nachname, Geburtsdatum, Personalausweisnummer, E-Mail-Adresse, Telefonnummer
• Technische Identifikatoren: IP-Adressen, Cookie-IDs, Geräte-IDs, Browser-Fingerprints
• Standortdaten: GPS-Koordinaten, Heimatadresse, häufig besuchte Orte
• Online-Kennungen: Nutzerkonten, Profilnamen, Tracking-IDs aus Analyse-Tools
• Wirtschaftliche Merkmale: Kontonummern, Kaufhistorien, Bonitätsdaten

Entscheidend ist das Konzept der Identifizierbarkeit: Eine Person gilt als identifizierbar, wenn sie durch Kombination verschiedener Informationen mit vertretbarem Aufwand bestimmt werden kann. Eine IP-Adresse allein reicht in vielen Fällen aus, da Internet-Service-Provider die Zuordnung zu einem Anschlussinhaber herstellen können. Der Europäische Gerichtshof hat dies in mehreren Urteilen bestätigt.

Was sind besondere Kategorien personenbezogener Daten?

Besondere Kategorien personenbezogener Daten sind Informationen, die ein erhöhtes Risiko für die betroffene Person darstellen und deshalb nach Art. 9 DSGVO einem strengeren Schutzregime unterliegen. Ihre Verarbeitung ist grundsätzlich verboten, sofern keine ausdrückliche Ausnahme greift.

Die DSGVO nennt folgende besondere Kategorien:

• Rassische und ethnische Herkunft
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische und biometrische Daten zur eindeutigen Identifizierung
• Gesundheitsdaten
• Daten zum Sexualleben oder zur sexuellen Orientierung

Für die Verarbeitung dieser Daten gelten strengere Anforderungen. In der Praxis bedeutet das: Unternehmen benötigen entweder eine ausdrückliche Einwilligung der betroffenen Person, müssen sich auf einen gesetzlichen Erlaubnistatbestand stützen oder nachweisen, dass die Verarbeitung zum Schutz lebenswichtiger Interessen erforderlich ist. Gerade im Gesundheitswesen, bei HR-Anwendungen oder bei personalisierten Werbeplattformen sind diese Kategorien besonders relevant.

Wann gelten Daten nicht mehr als personenbezogen?

Daten gelten nicht mehr als personenbezogen, wenn eine Identifizierung der betroffenen Person mit vertretbarem Aufwand nicht mehr möglich ist. Die DSGVO kennt dafür zwei zentrale Techniken: Anonymisierung und Pseudonymisierung, die jedoch rechtlich unterschiedlich bewertet werden.

Anonymisierung

Bei der echten Anonymisierung werden Daten so verändert, dass eine Rückführung auf eine bestimmte Person dauerhaft und unwiderruflich ausgeschlossen ist. Anonymisierte Daten fallen vollständig aus dem Anwendungsbereich der DSGVO heraus. Die Anforderungen sind hoch: Selbst eine theoretische Möglichkeit der Reidentifizierung kann dazu führen, dass die Anonymisierung rechtlich nicht anerkannt wird.

Pseudonymisierung

Pseudonymisierte Daten hingegen bleiben personenbezogen. Dabei werden direkte Identifikatoren durch Pseudonyme ersetzt, die Rückführung ist jedoch mit dem richtigen Schlüssel weiterhin möglich. Die DSGVO betrachtet Pseudonymisierung als eine Schutzmaßnahme, nicht als Ausweg aus den Datenschutzpflichten. Typische Beispiele sind gehashte E-Mail-Adressen oder tokenisierte Kundennummern.

Welche Rechtsgrundlagen erlauben die Verarbeitung personenbezogener Daten?

Die Verarbeitung personenbezogener Daten ist nach Art. 6 DSGVO nur zulässig, wenn mindestens eine von sechs Rechtsgrundlagen erfüllt ist. Ohne eine solche Grundlage ist jede Verarbeitung rechtswidrig, unabhängig davon, wie sorgfältig sie technisch umgesetzt wurde.

Die sechs Rechtsgrundlagen im Überblick:

1. Einwilligung (Art. 6 Abs. 1 lit. a): Die betroffene Person hat freiwillig, informiert und unmissverständlich zugestimmt. Sie muss jederzeit widerrufbar sein.
2. Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Verarbeitung ist zur Erfüllung eines Vertrags mit der betroffenen Person notwendig.
3. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Der Verantwortliche muss einer gesetzlichen Pflicht nachkommen.
4. Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d): Die Verarbeitung ist zum Schutz des Lebens erforderlich.
5. Öffentliches Interesse (Art. 6 Abs. 1 lit. e): Die Verarbeitung erfolgt im Rahmen einer Aufgabe im öffentlichen Interesse.
6. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Der Verantwortliche oder ein Dritter hat ein berechtigtes Interesse, das die Interessen der betroffenen Person überwiegt.

In der Website-Praxis sind besonders die Einwilligung und das berechtigte Interesse relevant. Für Werbedienste und Tracking-Tools ist in der Regel eine Einwilligung erforderlich. Das berechtigte Interesse eignet sich für funktionale Dienste wie Sicherheitstools oder technisch notwendige Analysen, sofern eine sorgfältige Interessenabwägung durchgeführt wird.

Warum sind Cookies und Tracker oft personenbezogene Daten?

Cookies und Tracker sind in vielen Fällen personenbezogene Daten, weil sie eindeutige Kennungen im Browser speichern oder übertragen, die eine Wiedererkennung und damit eine Identifizierung von Personen über mehrere Seitenbesuche oder Websites hinweg ermöglichen. Bereits die Übertragung einer IP-Adresse an einen externen Dienst stellt eine Verarbeitung personenbezogener Daten dar.

Konkret entstehen personenbezogene Daten durch Cookies und Tracker auf verschiedene Weisen:

• Cookie-IDs: Ein eindeutiger Wert im Browser erlaubt es, denselben Nutzer bei späteren Besuchen wiederzuerkennen.
• Drittanbieter-Dienste: Sobald eine Website einen externen Dienst einbindet, wird die IP-Adresse des Besuchers an den Anbieter übertragen. Das gilt für Analytics-Dienste ebenso wie für eingebettete Schriften oder Social-Media-Buttons.
• Tracking-Pixel: Unsichtbare Bildelemente laden von einem externen Server und übermitteln dabei Geräteinformationen und die IP-Adresse.
• Local und Session Storage: Auch Daten im Browser-Speicher können personenbezogene Informationen enthalten und unterliegen denselben Regeln wie Cookies.

Für Cookies gilt in Deutschland zusätzlich das TTDSG, das für nicht technisch notwendige Cookies eine Einwilligung vorschreibt, unabhängig davon, ob personenbezogene Daten im engeren Sinne verarbeitet werden. Technisch notwendige Cookies, etwa Session-Cookies des Webservers, sind von dieser Pflicht ausgenommen. Wer seine Website auf DSGVO-Konformität prüfen möchte, sollte daher besonders auf eingebundene Drittanbieter und deren Cookie-Verhalten achten.

Wie lässt sich der Umgang mit personenbezogenen Daten auf Websites prüfen?

Der Umgang mit personenbezogenen Daten auf einer Website lässt sich durch eine systematische Prüfung der eingesetzten Dienste, Cookies, Tracker und der Datenschutzerklärung überprüfen. Dabei geht es darum, festzustellen, welche Daten erhoben werden, an wen sie übertragen werden, ob eine Rechtsgrundlage vorliegt und ob die Datenschutzerklärung die gefundenen Dienste korrekt ausweist.

Eine vollständige Website-Prüfung umfasst typischerweise folgende Schritte:

1. Erfassung aller Netzwerkaufrufe: Welche externen Domains werden beim Laden der Seite kontaktiert? Jeder Aufruf kann eine Datenübertragung darstellen.
2. Identifikation von Cookies und Web-Speicher-Einträgen: Welche Cookies werden gesetzt, von wem und wie lange werden sie gespeichert?
3. Bewertung der Rechtsgrundlage: Für welche Dienste ist eine Einwilligung erforderlich? Wird diese tatsächlich vor dem Laden des Dienstes eingeholt?
4. Prüfung des Consent-Banners: Entspricht die Einwilligungslösung den Anforderungen? Werden Dienste erst nach aktiver Zustimmung geladen?
5. Abgleich mit der Datenschutzerklärung: Werden alle gefundenen Dienste in der Datenschutzerklärung genannt und korrekt beschrieben?
6. Prüfung auf Drittstaatentransfers: Werden Daten an Anbieter außerhalb der EU übertragen, und existieren dafür geeignete Garantien wie das EU-US Data Privacy Framework oder Standardvertragsklauseln?

Manuell ist dieser Prozess zeitaufwendig und fehleranfällig, besonders wenn mehrere Unterseiten oder passwortgeschützte Bereiche einbezogen werden müssen. Eine automatisierte Webseiten-Prüfung auf DSGVO kann diesen Aufwand erheblich reduzieren und sorgt für konsistente, nachvollziehbare Ergebnisse.

So unterstützt decareto beim Umgang mit personenbezogenen Daten auf Websites

Wir bei decareto haben eine SaaS-Plattform entwickelt, die genau die Prüfschritte automatisiert, die bei einer manuellen Website-Analyse Stunden in Anspruch nehmen. Unsere Software scannt Websites vollautomatisch und KI-gestützt auf datenschutzrechtliche Schwachstellen im Umgang mit personenbezogenen Daten. Dabei prüfen wir:

• Alle eingebundenen externen Dienste und deren Rechtsgrundlage nach Art. 6 DSGVO
• Cookies und Web-Speicher-Einträge inklusive Speicherdauer und Notwendigkeitsbewertung
• Consent-Banner auf korrekte Funktionsweise vor dem Laden von Diensten
• Drittstaatentransfers und vorhandene Garantien wie das EU-US Data Privacy Framework
• Die Datenschutzerklärung auf Vollständigkeit der genannten Dienste
• Unterseiten und passwortgeschützte Bereiche

Die Ergebnisse werden in übersichtlichen Reports mit konkreten Handlungsempfehlungen aufbereitet, die direkt mit Kunden geteilt werden können. Datenschutzbeauftragte, Agenturen und Compliance-Teams können damit den Aufwand für Website-Audits in der Regel erheblich reduzieren. Zusätzlich steht ein Datenschutzerklärungs-Generator zur Verfügung, der auf Basis der Scan-Ergebnisse passgenaue Datenschutztexte in 24 Sprachen erstellt.

Möchten Sie sehen, welche personenbezogenen Daten Ihre Website erhebt und überträgt? Jetzt kostenlos starten und Ihre erste Website scannen.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.

Ähnliche Artikel

• Was prüft ein WCAG-Test bei Animationen und bewegten Inhalten?
• Wie erkenne ich DSGVO-Verstöße durch eingebettete Social-Media-Plugins?
• Brauchen auch Freelancer und Solo-Selbstständige eine DSGVO-Website-Prüfung?
• Was sind häufige WCAG-Fehler bei Tabellen auf Websites?
• Wie liest man einen DSGVO-Audit-Report richtig und was bedeuten die Risikostufen?