Die Definition, Wort für Wort
Die DSGVO spricht von „allen Informationen“, die sich auf eine natürliche Person beziehen. Das ist bewusst weit: Es geht nicht nur um Stammdaten wie Name, Adresse oder Geburtsdatum, sondern auch um Einschätzungen, Aussagen und Verhaltensdaten. Der Satz „Frau Gruber hält das Angebot für zu teuer“ im Protokoll ist ein personenbezogenes Datum über Frau Gruber.
Identifiziert ist eine Person, wenn klar ist, um wen es geht. Identifizierbar ist sie, wenn sie sich direkt oder indirekt bestimmen lässt – laut Art. 4 Nr. 1 etwa über einen Namen, eine Kennnummer, Standortdaten, eine Online-Kennung oder besondere Merkmale ihrer körperlichen, wirtschaftlichen, kulturellen oder sozialen Identität.
Ob die Information stimmt, spielt keine Rolle. Auch eine falsche Angabe über jemanden ist ein personenbezogenes Datum – sonst ergäbe das Recht auf Berichtigung in Art. 16 keinen Sinn. Und es muss nicht um Privates gehen: Dienstliche Telefonnummer, Rolle im Projekt oder die Zahl der erledigten Tickets einer Mitarbeiterin sind ebenso erfasst. Erwägungsgrund 30 nennt außerdem Online-Kennungen wie IP-Adressen und Cookie-Kennungen, die – mit anderen Informationen kombiniert – zur Identifizierung genutzt werden können.
Wann ist jemand „identifizierbar“?
Erwägungsgrund 26 gibt den Maßstab vor: Es zählen alle Mittel, die der Verantwortliche oder eine andere Person „nach allgemeinem Ermessen wahrscheinlich“ nutzt, um jemanden zu identifizieren – unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technik. Ein Protokoll, in dem nur „der neue Vertriebsleiter aus Steyr“ steht, kann deshalb personenbezogen sein, obwohl kein Name fällt.
Wie weit das reicht, zeigt das Urteil des EuGH in der Rechtssache Breyer (C-582/14): Eine dynamische IP-Adresse war für einen Websitebetreiber ein personenbezogenes Datum, weil er rechtliche Mittel hatte, die Person über die Zusatzinformationen des Internetanbieters bestimmen zu lassen. Das Urteil betraf noch die alte Datenschutzrichtlinie, deren Definition ähnlich aufgebaut war.
Typische Beispiele aus Büro und Meeting
Ob etwas personenbezogen ist, hängt vom Zusammenhang ab. Einige Fälle zur Orientierung:
| Information | Personenbezogen? | Warum |
|---|---|---|
| Teilnehmerliste mit Namen | ja | Personen sind direkt identifiziert |
| Sprachaufnahme eines Kundengesprächs | in aller Regel ja | Stimme und Inhalt lassen sich einer Person zuordnen |
| Transkript mit „Stimme 1“, „Stimme 2“ | oft ja | Inhalt, Kontext oder Meetingtitel verraten meist, wer spricht |
| Umsatz der Firma Huber GmbH | grundsätzlich nein | betrifft eine juristische Person; anders, wenn die Zahl Rückschlüsse auf eine bestimmte Person zulässt |
| Statistik „12 Meetings pro Woche im Team“ | meist nein | keine Person bestimmbar, solange das Team nicht nur aus einer Person besteht |
Nicht erfasst sind laut Erwägungsgrund 27 die Daten Verstorbener; die Staaten dürfen dafür eigene Regeln vorsehen.
Abgrenzung: sensibel, pseudonym, anonym
Manche personenbezogenen Daten schützt die DSGVO besonders streng, etwa Gesundheitsdaten oder politische Meinungen. Diese besonderen Kategorien dürfen nur unter zusätzlichen Voraussetzungen verarbeitet werden. Eine normale Stimmaufnahme gehört nicht automatisch dazu – biometrisch im Sinne der DSGVO wird sie erst, wenn sie mit speziellen technischen Verfahren zur eindeutigen Identifizierung ausgewertet wird.
Pseudonymisierte Daten bleiben personenbezogen, weil sich der Bezug mit Zusatzwissen wiederherstellen lässt. Erst wirklich anonymisierte Daten fallen aus der DSGVO heraus – dafür darf die Person nicht mehr identifiziert werden können, auch nicht über Umwege. Bei Interviewtranskripten ist das schwerer, als es aussieht: Ein Beruf, ein Ort und eine Anekdote reichen oft, um jemanden wiederzuerkennen.
„Herr Leitner (Einkauf) sagt zu, die Rahmenvereinbarung bis 14. 3. zu prüfen. Frau Moser ist ab April in Karenz (in Deutschland: Elternzeit), Vertretung übernimmt Herr Steiner.“
Dieser eine Absatz enthält personenbezogene Daten über drei Personen: eine Zusage, eine Abwesenheit samt Grund und eine neue Zuständigkeit. Ob „Karenz“ ins Protokoll gehört, ist eine Frage der Datenminimierung – für die Vertretungsregel genügt „ab April abwesend“.
Dieser Eintrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.