Wann gelten Daten als personenbezogen?

Viele fragen sich, wann Daten als personenbezogen zählen. Diese Frage ist wichtig, nicht nur für Firmen, sondern auch für uns. Es geht um Datenschutz, Datensicherheit und den Schutz der Privatsphäre. Aber wie erkennt man solche Daten?

Schlüsselpunkte:

• Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• Auch anonymisierte oder verschlüsselte Daten können als personenbezogen gelten, wenn eine Re-Identifizierung der Person möglich ist.
• Der Schutz personenbezogener Daten ist in der Datenschutz-Grundverordnung (DSGVO) geregelt und gilt unabhängig von der verwendeten Technik.
• Unternehmen müssen personenbezogene Daten sicher verarbeiten und dürfen sie nur mit ausdrücklicher Erlaubnis speichern.
• Verstöße gegen die DSGVO können hohe Strafen nach sich ziehen.

Definition: Was sind personenbezogene Daten?

Personenbezogene Daten umfassen Infos über eine konkret identifizierbare Person. Zum Beispiel gehören Namen, Kontaktdaten, Zahlungsinformationen, Kennnummern, Ortsangaben und IP-Adressen dazu. Sogar Details wie Arbeitszeiten oder Prüfungsergebnisse zählen, wenn sie jemanden erkennbar machen.

Informationen über identifizierbare natürliche Personen

Ein Mensch wird als identifizierbar betrachtet, wenn man ihn über Merkmale wie seinen Namen, seine Nummer oder seinen Standort bestimmen kann. Sämtliche Daten, die jemandem zugeordnet werden können, fallen unter den Begriff personenbezogen.

Beispiele für personenbezogene Daten

• Namen und Vornamen
• Privatanschriften
• E-Mail-Adressen
• Ausweiskopien und -nummern
• Standortdaten
• IP-Adressen
• Kreditkartennummern

Genetische, biometrische und Gesundheitsinformationen, Angaben zur Ethnie oder politische Ansichten zählen zu sensiblen personenbezogenen Daten. Sie werden besonders geschützt.

„Personenbezogene Daten bezeichnen Informationen, die sich auf eine konkrete Person beziehen.“

Geltungsbereich der Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung (DSGVO) schützt personenbezogene Daten in der EU. Sie gilt für viele Firmen und Organisationen überall. Dabei ist es egal, wo sie sitzen.

Technologieneutralität und Speichermedien

Die DSGVO schützt Daten, egal wie sie verarbeitet werden. Das kann automatisch oder von Hand sein. Daten können in IT-Systemen, bei Videoüberwachung oder auf Papier stehen. In jedem Fall sind die Datenschutzregeln der DSGVO wichtig.

Alle Firmen mit Sitz in der EU müssen die DSGVO einhalten. Egal, ob sie die Daten in oder außerhalb der EU nutzen. Auch Firmen außerhalb der EU, die in Europa Geschäfte machen, sind betroffen.

1. Die DSGVO will weltweit EU-Daten schützen, ob ein Unternehmen in der EU ist oder nicht.
2. Firmen außerhalb der EU müssen EU-Datenschutzregeln folgen, wenn sie EU-Bürger datenschutzrechtlich beobachten, z.B. durch Cookies.
3. Unternehmen, die viele Daten verarbeiten, brauchen gemäß der DSGVO einen Datenschutzbeauftragten.
4. Firmen außerhalb der EU brauchen einen Vertreter in der EU, der für die Datenschutzbehörde erreichbar ist.

Die DSGVO schützt Daten weltweit sehr stark. Alle Organisationen müssen sich an die Regeln halten, egal wo sie sind.

Identifizierbarkeit von Personen

Die Identifizierbarkeit von Personen steht im Fokus, wenn wir über ihre Daten sprechen. Daten sind personenbezogen, wenn sie einem Menschen direkt zuzuordnen sind. Das geht entweder ganz klar über Namen oder Nummern oder auch weniger offensichtlich durch zusätzliches Wissen.

Gemäß der Datenschutz-Grundverordnung der EU ist jemand identifizierbar, wenn man ihn von anderen unterscheiden kann. Es spielt keine Rolle, ob es etwas schwieriger ist, die Person zu bestimmen. Wichtig ist, dass es grundsätzlich möglich ist, sie zu identifizieren.

Es geht bei der Identifizierbarkeit nicht nur um die Werkzeuge des Datenverarbeitenden. Auch Techniken von Dritten sind wichtig, um Personen zu erkennen. Selbst wenn Daten pseudonymisiert sind, kann der Bezug zu einer Person bestehen bleiben. Das ist der Fall, wenn die pseudonymisiert Daten über Zusatzinformationen doch zur Identifikation führen können.

Über die Identifizierbarkeit von Personen wird viel diskutiert. Dabei gibt es verschiedene Blickwinkel, zum Beispiel relativ und absolut. Neue, klare Regeln entstehen oft erst, wenn Gerichte und Datenschutz-Experten Entscheidungen treffen.

„Eine Identifizierbarkeit setzt einen ‚Zwischenschritt‘ voraus, nämlich den Einsatz von Identifizierungsmitteln, die eine Verbindung zwischen den verarbeiteten Daten und einer Person herstellen können.“

Besondere Kategorien personenbezogener Daten

Bestimmte Daten brauchen mehr Schutz als andere. Dazu zählen z.B. genetische und biometrische Daten, sowie Gesundheitsinfos. Auch Einzelheiten zu Religion, politischer Meinung und sexueller Orientierung fallen darunter. Die Datenschutz-Grundverordnung (DSGVO) sorgt für spezielle Sicherheitsregeln bei diesen sensiblen Daten.

Sensible Daten wie Gesundheitsdaten

Infos über Medikamente oder Gesundheit gehören dazu. Auch, ob jemand oft eine spezielle Kirche besucht. Diese Gesundheitsdaten sind extra geschützt.

Ohne besondere Gründe dürfen solche besonderen Datenkategorien nicht verarbeitet werden. Z.B. die lebenswichtigen Interessen schützen. Bei wichtigen Entscheidungen braucht es sogar eine spezielle Genehmigung.

Verantwortliche müssen ein spezielles Register für diese Daten führen. Bei großem Datenverkehr ist ein Datenschutz-Check nötig.

Lichtbilder sind meist keine biometrischen Daten, es sei denn, spezielle Technik wurde genutzt. Einfacher Alkoholkonsum gilt nicht als Gesundheitsinfo. Und der Geburtsort sagt allein nichts über Herkunft aus.

Der Schutz sensibler Daten ist in der DSGVO zentral. Er dient dem Schutz der Freiheiten und Rechte der Menschen.

Datenschutz

Der Datenschutz ist seit dem 25. Mai 2018 in der EU besonders wichtig. Das liegt an der DSGVO. Sie sorgt dafür, dass unsere Daten geschützt werden. Dieses Gesetz ergänzt das Recht auf eigene Daten, wie es im Grundgesetz steht. Es sagt uns, wie Daten geschützt werden und wer welche Rechte hat.

Anonymisierung und Pseudonymisierung

Anonymisierung und Pseudonymisierung sind wichtige Ideen im Datenschutz. Bei anonymisierten Daten kann niemand mehr erkennen, um wen es geht. Dazu bedarf es keiner weiteren Informationen. Ähnlich ist es bei pseudonymisierten Daten. Hier ist es schwerer, die echte Person zu ermitteln, aber nicht unmöglich.

Unternehmen und Organisationen müssen sichere und faire technische und organisatorische Maßnahmen nutzen. So werden persönliche Daten vor Missbrauch geschützt. Das ist wichtig, um den Anforderungen der DSGVO zu entsprechen.

„Daten sind wertvoll, und ihre Übertragung steuert viele Teile unseres Lebens, vom Einkaufen mit dem Smartphone bis zum kontaktlosen Bezahlen“

Mit der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG-neu) ist der Datenschutz in Deutschland und Europa gut geregelt. Firmen müssen die Regeln beachten. Sonst riskieren sie hohe Strafen, bis zu 20 Millionen Euro oder 4% ihres Umsatzes.

Risiken bei Missbrauch personenbezogener Daten

Personenbezogene Daten stellen hohe Risiken dar, wenn sie in die falschen Hände geraten. Sie können für Identitätsdiebstahl und Betrug genutzt werden. Arbeitgeber könnten Bewerber wegen gesundheitlicher Informationen diskriminieren. Politiker könnten mit gezielter Werbung Wahlen manipulieren.

Staaten könnten sogar massenhaft Bürger überwachen, mit Technologien wie Videoüberwachung und Gesichtserkennung. Dabei wären Strafen gesetzlich festgelegt, dennoch kann Datenmissbrauch nie ganz ausgeschlossen werden. Deshalb ist es sehr wichtig, mit Daten verantwortungsvoll umzugehen.

Die Menge an gemeldeten Datenschutzverletzungen stieg von 2017 zu 2018 stark an. Ein Unternehmen musste zum Schutz der Daten 5.000 € bezahlen. Bei schwerwiegenden Vorfällen könnten die Strafen bis zu 20 Millionen Euro betragen.

Die Anzahl der Beschwerden über Datenschutzverstöße war 2018 besonders hoch. Schäden durch Datenschutzverletzungen betreffen oft den finanziellen Bereich. Doch es gibt auch die Möglichkeit auf Schadensersatz, wenn die Verletzung nicht finanziell ist. Dies war allerdings eine strittige Frage.

DSGVO schützt die Rechte von Menschen in Bezug auf ihre Daten. Dieses Gesetz bedeutet viel für jeden, der seine Daten gibt. Es gibt zum Beispiel das Recht auf informationelle Selbstbestimmung. Es ist ein wichtiges Recht auf europäischer Ebene.

Unangenehme Folgen von Datenmissbrauch könnten sein: Identitätsdiebstahl, Diskriminierung, und der Verlust vom Beruf. Das könnten mögliche Situationen sein. Datenmissbrauch im Darknet könnte außerdem zu kriminellen Aktivitäten führen.

IT-Angriffe wie Phishing und Spyware nehmen zu. Sie sind eine große Gefahr für Privatpersonen und Organisationen. Das belegen Berichte aus der IT-Industrie.

Unter Datenmissbrauch fallen viele Techniken wie Phishing und Pharming. Die Konsequenzen können schwerwiegend sein. Sie reichen von Identitätsdiebstahl bis zum Schaden für Unternehmen.

Die Kosten einer Datenschutzverletzung sind hoch. Im Schnitt muss ein Unternehmen über 4 Mio. Euro zahlen. Amazon könnte sogar fast 750 Mio. Euro Strafe bekommen.

Rechtsgrundlagen für Datenverarbeitung

Die Europäische Datenschutz-Grundverordnung (DSGVO) schützt personenbezogene Daten rechtlich. Sie besagt, dass Daten nur legal verarbeitet werden dürfen. Eine solche Legalität ist gegeben, wenn bestimmte Voraussetzungen erfüllt sind. Dazu gehört die Zustimmung der betroffenen Person, die Erfüllung von Verträgen oder rechtlichen Pflichten.

Zudem zählt dazu der Schutz lebenswichtiger Interessen einer Person. Die Ausführung einer Aufgabe im öffentlichen Interesse und das Wahren berechtigter Interessen gehören ebenso dazu.

Der Grund für die Datenerfassung muss immer klar sein. Die Daten dürfen nicht für andere Zwecke genutzt werden. Dieses Prinzip, der Zweckbindung, ist sehr wichtig. Auch haben die Betroffenen das Recht, über ihre Daten informiert zu werden.

Einwilligung, Vertrag und berechtigtes Interesse

Einwilligung, Vertragsverhältnis und das berechtigte Interesse sind entscheidend. Eine Einwilligung muss von der betroffenen Person klar gegeben werden. Beim Vertragsverhältnis dient die Verarbeitung der Vertragserfüllung.

Das berechtigte Interesse des Verantwortlichen kann auch eine Datenverarbeitung rechtfertigen. Dabei muss jedoch das Wohl der Betroffenen beachtet werden.

Oftmals sind mehrere Rechtsgründe für eine Datenerfassung gültig. Es kann vorkommen, dass sowohl eine Einwilligung als auch ein berechtigtes Interesse vorliegen. Diese Situation zeigt, dass das Datenschutzrecht auf gesetzlichen Grundlagen beruht. Es darf nicht willkürlich gehandhabt werden, sondern unterliegt klaren Regelungen.

Pflichten bei der Datenverarbeitung

Als Unternehmen müssen wir gesetzliche Pflichten beachten, wenn wir persönliche Daten nutzen. Diese Regeln helfen, die Rechte und Interessen von Menschen zu schützen. So stellen wir sicher, dass sensible Informationen sicher verwendet werden.

Wichtige Pflichten bei der Datenverarbeitung sind:

• Transparenz- und Informationspflicht: Wir sagen den Betroffenen, welche personenbezogenen Daten wir nutzen und warum. Außerdem informieren wir über ihre Rechte.
• Auskunftsrecht: Menschen können von uns Infos über ihre Daten verlangen.
• Löschung personenbezogener Daten: Wir speichern Daten nur, solange es nötig ist. Danach löschen wir sie.
• Datensparsamkeit: Beim Umgang mit Daten achten wir darauf, nur die nötigsten zu sammeln.

Wir müssen die Pflichten gut kennen und sie genau einhalten. Dazu gehören Regeln zur Transparenz, Infopflicht, Auskunft, Löschung und Datensparsamkeit.

„Das Risikoadäquanzkonzept bestimmt, was wir bei der Datenverarbeitung tun müssen, je nach dem Risiko.“

Als Verantwortliche für Daten müssen wir sehr aufmerksam sein. Wir müssen klar und offen mit persönlichen Daten umgehen. Das schützt die Rechte und Freiheiten aller Betroffenen.

Fazit

Seit der Datenschutz-Grundverordnung gelten strenge Regeln für persönliche Daten. Sie dürfen nur in festgelegtem Rahmen verwendet werden. Doch das Teilen unserer persönlichen Informationen bringt auch große Risiken mit sich, wie Identitätsdiebstahl.

Es ist daher unerlässlich, datenschutzkonform mit persönlichen Daten umzugehen. Jeder von uns muss sorgsam sein, sowohl zum Schutz der eigenen Daten als auch der anderer. Firmen, die den Datenschutz nicht respektieren, müssen mit hohen Strafen rechnen.

Wir alle können dazu beitragen, dass sensible Daten sicher bleiben. Durch verantwortungsvolles Handeln stärken wir das Vertrauen der Menschen in die Digitalisierung. Dies ist wichtig, um zugleich die Privatsphäre jedes Einzelnen zu wahren.

Max Becker

Max Becker ist ein erfahrener Experte auf dem Gebiet der Informationssicherheit mit einer beeindruckenden beruflichen Laufbahn in der Branche. Seine fundierte Ausbildung und langjährige Erfahrung machen ihn zu einem gefragten Ansprechpartner für Unternehmen, die ihre digitalen Assets schützen möchten.