Wann ist ein Datum personenbezogen? – Eine Hilfe zur Identifizierung personenbezogener Daten

Für uns als Datenschutzberater*innen ist es selbstverständlich, welches Datum als personenbezogen gilt und als solches einzuordnen ist. Doch diejenigen, die sich in einem Unternehmen nur selten mit dieser Einordnung und Frage auseinandersetzen, können in der einen oder anderen Situation etwas überfordert sein.

Insbesondere dann, wenn ein einzelnes Datum für sich genommen zunächst kein personenbezogenes Datum darstellt und im nächsten Moment in Kombination mit dem Namen des*der Mitarbeiter*in, Kund*in oder Patient*in ein Personenbezug hergestellt wird.

Daher möchten wir an dieser Stelle verständlich machen, woran man festmachen kann, ob es sich bei einer IP-Adresse, einer Logdatei oder einem KfZ-Kennzeichen tatsächlich um ein personenbezogenes Datum handelt.

Direkte und indirekte Identifizierbarkeit

Der Begriff des personenbezogenen Datums ist legaldefiniert in Art. 4 Nr. 1 Datenschutz-Grundverordnung (DSGVO). Darunter fallen 

„[…] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen […].“

Doch auch mithilfe der Legaldefinition kann es schwierig sein zu beurteilen, wann ein Datum personenbezogen ist und wann eine Person überhaupt „identifizierbar“ ist.

Was bedeutet also „identifizierbar“? Hierzu führt Art. 4 Nr. 1 DSGVO weiter aus: 

„[…] als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, […] identifiziert werden kann“.

Grob gesagt, ist eine Person identifizierbar, wenn mit den vorliegenden Informationen bzw. Daten ein Rückschluss auf eine konkrete Person möglich ist. 

Nun unterscheidet Art. 4 Nr. 1 DSGVO zwischen direkter und indirekter Identifizierung.

• Direkte Identifizierbarkeit: Wenn schon eine Information / ein Datum ausreicht, um eine Person zu identifizieren. Hierfür sind weder weitere Informationen noch sonstige Identifizierungsmittel notwendig (z. B. Sozialversicherungsnummer, Steuer-ID, Personalnummer, Kfz-Kennzeichen).
• Indirekte Identifizierbarkeit: Es liegt eine Information vor, bspw. die Fahrzeugidentifikationsnummer (FIN), die für sich genommen nicht auf eine bestimmte Person schließen lässt (sachbezogenes Datum) und damit zunächst nicht als personenbezogen einzuordnen ist. Verfügt man jedoch über Zusatzinformationen oder bestimmte (Identifizierungs-)Mittel, die in Kombination mit dem zunächst nicht personenbezogenen Datum einen Personenbezug herstellen können, liegt eine indirekte Identifizierbarkeit vor.

Wichtig hierbei ist, dass 

„[…] alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren […].“ (Erwägungsgrund (EG) 26 S. 3 zur DSGVO) 

Beispiel: Ein Unternehmen dokumentiert in einer internen Übersicht die Fehlzeiten seiner Belegschaft ohne Namen, aber mit Angaben wie Abteilung, Kalenderwoche, Dauer der Abwesenheit und Grund (z. B. „Rückenprobleme“). Betrachtet man die Daten separat, lassen diese keinen Rückschluss auf eine konkrete Person zu. In Kombination reichen die Informationen aber gerade bei kleinen Teams dazu aus, um die betroffene Person eindeutig zu identifizieren. Die Erstellung der internen Übersicht stellt insofern eine Verarbeitung personenbezogener Daten dar. 

Das heißt, personenbezogene Daten sind nicht immer nur der Name oder ein Foto der betroffenen Person, also Merkmale, die eine einzelne Person direkt identifizieren.

Es ist auch möglich, bei einem Datum, das zunächst nicht personenbezogen wirkt, mithilfe von Zusatzwissen oder (technischer) Mittel dennoch einen Personenbezug herzustellen und damit auf eine bestimmte Person zu schließen.

Darüber hinaus kann es auch Konstellationen geben, in denen sich mehrere Personen ein Datum teilen – etwa bei einer Namensgleichheit. Um die einzelnen Personen identifizieren zu können, kann auch hier die Heranziehung von Zusatzinformationen (Alter, Adresse) notwendig sein.

Exkurs: Pseudonymisierte und anonymisierte Daten

Auch die Unterscheidung zwischen pseudonymisierten und anonymisierten Daten sowie der datenschutzkonforme Umgang mit ihnen ist nicht immer für alle klar. Insbesondere gilt das, wenn es darum geht, pseudonyme oder anonyme Daten an Dritte zu übermitteln.

• Pseudonymisierung ist die Verarbeitung personenbezogener Daten in einer Weise, dass diese ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können – sofern diese Zusatzinformationen gesondert aufbewahrt und durch geeignete technische und organisatorische Maßnahmen gesichert werden (Art. 4 Nr. 5 DSGVO, EG 26 S. 2 zur DSGVO).
• Anonymisierung bedeutet, dass personenbezogene Daten so verändert werden, dass die betroffene Person nicht mehr identifiziert werden kann – weder direkt noch indirekt, auch nicht durch die Kombination mit anderen verfügbaren Informationen. Anonymisierte Daten sind keine personenbezogenen Daten mehr und fallen daher nicht mehr unter die DSGVO.

Mit Urteil vom 4. September 2025 (Az. C-413/23 P) entschied der Europäische Gerichtshof (EuGH), dass pseudonymisierte oder anonymisierte Daten nicht absolut, sondern Verantwortlichen-bezogen zu betrachten sind (wir berichteten). Das bedeutet: Die Einordnung, ob Daten für den Verantwortlichen personenbezogen sind oder nicht, hängt von dessen Sicht ab. Damit kann für einen Verantwortlichen ein Datum anonym sein, während das Datum für einen anderen Verantwortlichen personenbezogen ist – weil diesem oder einer Stelle, auf die er zurückgreifen kann, entsprechende Mittel zur Verfügung stehen, um einen Personenbezug herzustellen.

Das heißt: Nur pseudonymisierte Daten, die an einen anderen Verantwortlichen übermittelt werden, müssen für diesen nicht zwangsläufig ebenfalls personenbezogen sein. Vielmehr können die Daten für den empfangenden Verantwortlichen anonym sein, wenn er keine Möglichkeiten hat, den Personenbezug herzustellen. Anonymität ist daher stets kontextabhängig zu beurteilen.

Bei alledem muss im Blick behalten werden, welche technischen Möglichkeiten dem jeweiligen Verantwortlichen zur Verfügung stehen, um eine (Re-)Identifizierung möglich zu machen (EG 26 S. 4 zur DSGVO). Andernfalls kann aus einem zunächst anonymen bzw. anonymisierten Datum durch immer leistungsfähigere technische Mittel wieder ein Personenbezug hergestellt werden.

Das heißt auch: Übermittelt ein Verantwortlicher anonyme Daten an einen Empfänger, dem möglicherweise Identifizierungsmittel zur Verfügung stehen, bleiben die Daten auch für ihn – zumindest in diesem Verhältnis – personenbezogen. Dies wirkt sich auch auf die entsprechenden Informationspflichten der übermittelnden Stelle aus.

Anders sieht es aus, wenn die Wiederherstellung des Personenbezugs entweder gesetzlich verboten oder einen unverhältnismäßigen Aufwand an Zeit, Kosten oder Arbeitskraft erfordert, sodass das Risiko de facto vernachlässigbar erscheint (vgl. EuGH-Urteil (Az. C-413/23 P), EG 26 S. 4 zur DSGVO).

Fazit

Sicher ist eines: Eine Information oder ein Datum ist immer dann personenbezogen, wenn die Person daraus unmittelbar, also ohne weitere Schritte, identifiziert werden kann. Beispiele hierfür sind der Name, die Adresse oder ein Foto der Person. 

Eine Information oder ein Datum kann aber auch dann personenbezogen sein, wenn eine mittelbare Identifizierung der Person möglich ist, also wenn die Information oder das Datum, das für sich genommen zunächst keinen Personenbezug aufwies, mit entsprechendem Zusatzwissen oder (technischen) Mitteln doch einen Personenbezug herstellen lässt.

Mit dem neuen Urteil zur Verantwortlichen-bezogenen Betrachtung von Pseudonymisierung und Anonymität kann nicht mehr pauschal gesagt werden, dass pseudonyme Daten immer personenbezogen sind und die DSGVO Anwendung findet, während anonyme Daten keinen Personenbezug aufweisen und die DSGVO damit nicht gilt. Vielmehr gilt es nun, die jeweiligen Mittel und Zusatzinformationen jedes einzelnen verantwortlichen im Blick zu behalten – ob Sender oder Empfänger – und im konkreten Einzelfall zu entscheiden, ob pseudonyme oder anonyme Daten vorliegen, ob ein Personenbezug möglich ist oder nicht.