Personenbezogene Daten im Sinne der DSGVO sind alle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person beziehen. Dazu geh\u00f6ren offensichtliche Angaben wie Name und Adresse ebenso wie technische Merkmale, die eine indirekte Identifizierung erm\u00f6glichen. Dieser Artikel beantwortet die wichtigsten Fragen rund um personenbezogene Daten, ihre Kategorien, Rechtsgrundlagen und die praktische Pr\u00fcfung auf Websites.<\/p>\n\n\n\n
Als personenbezogen gelten alle Daten, die eine nat\u00fcrliche Person direkt oder indirekt identifizierbar machen. Der Begriff ist bewusst weit gefasst: Er umfasst nicht nur klassische Identifikationsmerkmale, sondern auch technische, wirtschaftliche, physiologische oder soziale Merkmale, die allein oder in Kombination eine Zuordnung zu einer bestimmten Person erm\u00f6glichen.<\/p>\n\n\n\n
Typische Beispiele f\u00fcr personenbezogene Daten sind:<\/p>\n\n\n\n
Entscheidend ist das Konzept der Identifizierbarkeit<\/em>: Eine Person gilt als identifizierbar, wenn sie durch Kombination verschiedener Informationen mit vertretbarem Aufwand bestimmt werden kann. Eine IP-Adresse allein reicht in vielen F\u00e4llen aus, da Internet-Service-Provider die Zuordnung zu einem Anschlussinhaber herstellen k\u00f6nnen. Der Europ\u00e4ische Gerichtshof hat dies in mehreren Urteilen best\u00e4tigt.<\/p>\n\n\n\n Besondere Kategorien personenbezogener Daten sind Informationen, die ein erh\u00f6htes Risiko f\u00fcr die betroffene Person darstellen und deshalb nach Art. 9 DSGVO einem strengeren Schutzregime unterliegen. Ihre Verarbeitung ist grunds\u00e4tzlich verboten, sofern keine ausdr\u00fcckliche Ausnahme greift.<\/p>\n\n\n\n Die DSGVO nennt folgende besondere Kategorien:<\/p>\n\n\n\n F\u00fcr die Verarbeitung dieser Daten gelten strengere Anforderungen. In der Praxis bedeutet das: Unternehmen ben\u00f6tigen entweder eine ausdr\u00fcckliche Einwilligung der betroffenen Person, m\u00fcssen sich auf einen gesetzlichen Erlaubnistatbestand st\u00fctzen oder nachweisen, dass die Verarbeitung zum Schutz lebenswichtiger Interessen erforderlich ist. Gerade im Gesundheitswesen, bei HR-Anwendungen oder bei personalisierten Werbeplattformen sind diese Kategorien besonders relevant.<\/p>\n\n\n\n Daten gelten nicht mehr als personenbezogen, wenn eine Identifizierung der betroffenen Person mit vertretbarem Aufwand nicht mehr m\u00f6glich ist. Die DSGVO kennt daf\u00fcr zwei zentrale Techniken: Anonymisierung und Pseudonymisierung, die jedoch rechtlich unterschiedlich bewertet werden.<\/p>\n\n\n\n Bei der echten Anonymisierung werden Daten so ver\u00e4ndert, dass eine R\u00fcckf\u00fchrung auf eine bestimmte Person dauerhaft und unwiderruflich ausgeschlossen ist. Anonymisierte Daten fallen vollst\u00e4ndig aus dem Anwendungsbereich der DSGVO heraus. Die Anforderungen sind hoch: Selbst eine theoretische M\u00f6glichkeit der Reidentifizierung kann dazu f\u00fchren, dass die Anonymisierung rechtlich nicht anerkannt wird.<\/p>\n\n\n\n Pseudonymisierte Daten hingegen bleiben personenbezogen. Dabei werden direkte Identifikatoren durch Pseudonyme ersetzt, die R\u00fcckf\u00fchrung ist jedoch mit dem richtigen Schl\u00fcssel weiterhin m\u00f6glich. Die DSGVO betrachtet Pseudonymisierung als eine Schutzma\u00dfnahme, nicht als Ausweg aus den Datenschutzpflichten. Typische Beispiele sind gehashte E-Mail-Adressen oder tokenisierte Kundennummern.<\/p>\n\n\n\n Die Verarbeitung personenbezogener Daten ist nach Art. 6 DSGVO nur zul\u00e4ssig, wenn mindestens eine von sechs Rechtsgrundlagen erf\u00fcllt ist. Ohne eine solche Grundlage ist jede Verarbeitung rechtswidrig, unabh\u00e4ngig davon, wie sorgf\u00e4ltig sie technisch umgesetzt wurde.<\/p>\n\n\n\n Die sechs Rechtsgrundlagen im \u00dcberblick:<\/p>\n\n\n\n In der Website-Praxis sind besonders die Einwilligung und das berechtigte Interesse relevant. F\u00fcr Werbedienste und Tracking-Tools ist in der Regel eine Einwilligung erforderlich. Das berechtigte Interesse eignet sich f\u00fcr funktionale Dienste wie Sicherheitstools oder technisch notwendige Analysen, sofern eine sorgf\u00e4ltige Interessenabw\u00e4gung durchgef\u00fchrt wird.<\/p>\n\n\n\n Cookies und Tracker sind in vielen F\u00e4llen personenbezogene Daten, weil sie eindeutige Kennungen im Browser speichern oder \u00fcbertragen, die eine Wiedererkennung und damit eine Identifizierung von Personen \u00fcber mehrere Seitenbesuche oder Websites hinweg erm\u00f6glichen. Bereits die \u00dcbertragung einer IP-Adresse an einen externen Dienst stellt eine Verarbeitung personenbezogener Daten dar.<\/p>\n\n\n\n Konkret entstehen personenbezogene Daten durch Cookies und Tracker auf verschiedene Weisen:<\/p>\n\n\n\n F\u00fcr Cookies gilt in Deutschland zus\u00e4tzlich das TTDSG, das f\u00fcr nicht technisch notwendige Cookies eine Einwilligung vorschreibt, unabh\u00e4ngig davon, ob personenbezogene Daten im engeren Sinne verarbeitet werden. Technisch notwendige Cookies, etwa Session-Cookies des Webservers, sind von dieser Pflicht ausgenommen. Wer seine Website auf DSGVO-Konformit\u00e4t pr\u00fcfen<\/a> m\u00f6chte, sollte daher besonders auf eingebundene Drittanbieter und deren Cookie-Verhalten achten.<\/p>\n\n\n\n Der Umgang mit personenbezogenen Daten auf einer Website l\u00e4sst sich durch eine systematische Pr\u00fcfung der eingesetzten Dienste, Cookies, Tracker und der Datenschutzerkl\u00e4rung \u00fcberpr\u00fcfen. Dabei geht es darum, festzustellen, welche Daten erhoben werden, an wen sie \u00fcbertragen werden, ob eine Rechtsgrundlage vorliegt und ob die Datenschutzerkl\u00e4rung die gefundenen Dienste korrekt ausweist.<\/p>\n\n\n\n Eine vollst\u00e4ndige Website-Pr\u00fcfung umfasst typischerweise folgende Schritte:<\/p>\n\n\n\n Manuell ist dieser Prozess zeitaufwendig und fehleranf\u00e4llig, besonders wenn mehrere Unterseiten oder passwortgesch\u00fctzte Bereiche einbezogen werden m\u00fcssen. Eine automatisierte Webseiten-Pr\u00fcfung auf DSGVO<\/a> kann diesen Aufwand erheblich reduzieren und sorgt f\u00fcr konsistente, nachvollziehbare Ergebnisse.<\/p>\n\n\n\n Wir bei decareto haben eine SaaS-Plattform entwickelt, die genau die Pr\u00fcfschritte automatisiert, die bei einer manuellen Website-Analyse Stunden in Anspruch nehmen. Unsere Software scannt Websites vollautomatisch und KI-gest\u00fctzt auf datenschutzrechtliche Schwachstellen im Umgang mit personenbezogenen Daten. Dabei pr\u00fcfen wir:<\/p>\n\n\n\n Die Ergebnisse werden in \u00fcbersichtlichen Reports mit konkreten Handlungsempfehlungen aufbereitet, die direkt mit Kunden geteilt werden k\u00f6nnen. Datenschutzbeauftragte, Agenturen und Compliance-Teams k\u00f6nnen damit den Aufwand f\u00fcr Website-Audits in der Regel erheblich reduzieren. Zus\u00e4tzlich steht ein Datenschutzerkl\u00e4rungs-Generator<\/a> zur Verf\u00fcgung, der auf Basis der Scan-Ergebnisse passgenaue Datenschutztexte in 24 Sprachen erstellt.<\/p>\n\n\n\nWas sind besondere Kategorien personenbezogener Daten?<\/h2>\n\n\n\n
\n
Wann gelten Daten nicht mehr als personenbezogen?<\/h2>\n\n\n\n
Anonymisierung<\/h3>\n\n\n\n
Pseudonymisierung<\/h3>\n\n\n\n
Welche Rechtsgrundlagen erlauben die Verarbeitung personenbezogener Daten?<\/h2>\n\n\n\n
\n
Warum sind Cookies und Tracker oft personenbezogene Daten?<\/h2>\n\n\n\n
\n
Wie l\u00e4sst sich der Umgang mit personenbezogenen Daten auf Websites pr\u00fcfen?<\/h2>\n\n\n\n
\n
So unterst\u00fctzt decareto beim Umgang mit personenbezogenen Daten auf Websites<\/h2>\n\n\n\n
\n