Der Begriff „personenbezogene Daten“ ist der zentrale Begriff des Datenschutzrechts. Denn erst der Personenbezug macht aus einem Datum ein schützenswertes Datum. Oder konkreter ausgedrückt: Solange ein Datum keinen Personenbezug hat, fällt es nicht unter das Datenschutzrecht.
Warum ist das so? Nun, das Datenschutzrecht ist im Kern Persönlichkeitsrecht. Es schützt die konkrete Person hinsichtlich der Verarbeitung der sie betreffenden Daten. Datenschutz soll also nicht die Daten schützen, sondern die Person, der die Daten zuzuordnen sind.
Entscheidend ist also der „Personenbezug“ eines Datums. Aber was bedeutet das jetzt konkret?
Was bedeutet „Personenbezug“?
Ein Datum hat dann „Personenbezug“ wenn sich die Information auf eine identifizierte oder identifizierbare natürliche Person (im Datenschutz auch als „betroffene Person“ oder als „Betroffener“ bezeichnet) bezieht. Als identifizierbar wird wiederum eine natürliche Person angesehen, die direkt oder indirekt durch/über/mithilfe der Information/des Datums identifiziert werden kann.
Nach der Definition in Artikel 4 Nummer 1 DSGVO gilt das insbesondere auch dann, wenn die Identifizierung mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen möglich ist, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
Kurz gesagt:
Sobald es theoretisch – auch unter schwierigen Bedingungen – möglich ist aus eine bestimmten Datum zu schließen oder zu erkennen, welcher natürlichen Person es zuzuordnen ist, handelt es sich um ein personenbezogenes Datum.
Welche personenbezogenen Daten gibt es?
Mittlerweile ist beispielsweise geklärt, dass auch die dynamische IP-Adresse ein personenbezogenes Datum ist. Denn, so der Europäische Gerichtshof (EuGH), durch einen gesetzlichen Auskunftsanspruch an den Access-Provider (Also bspw. die Telekom) ist es möglich zu erfahren, welche Person zu einem bestimmten Zeitpunkt eine IP-Adresse zugewiesen bekommen hatte. Das reicht für den möglichen Personenbezug aus. Und das, obwohl der Auskunftsanspruch nur unter ganz engen Grenzen und nur für bestimmte Berechtigte und nur nach Richtervorbehalt geltend gemacht werden kann.
Ach aus so genannten „Maschinendaten“ werden ganz schnell personenbezogene Daten. Nämlich dann, wenn die Maschine von einer Person bedient wird und mit den Daten auch deren Leistung, Arbeitszeiten o.ä. ermittelt werden können.
Der „Personenbezug“ wird zunehmen
Sie merken schon, dass man sehr schnell einen Personenbezug herstellen kann. In Zeiten von Big Data ist es außerdem so, dass wir anhand einer Vielzahl an – zunächst anonymen – Daten die dahinter stehende(n) Person(en) so eingrenzen können, dass der Personenbezug in Zukunft wohl immer früher und immer schneller bejaht werden wird.
Gehen Sie daher bitte im Zweifel immer eher von einem Personenbezug eines Datums aus, als diesen vorschnell zu verneinen. Das Fehlen des Personenbezugs ist die Ausnahme.
Timo Schutt
Datenschutzberater
Fachanwalt für IT-Recht
