Personenbezogene Daten: der Test der „identifizierbaren Person“

Nach der GDPR umfassen personenbezogene Daten nicht nur offensichtliche Angaben wie den vollständigen Namen oder eine nationale Identifikationsnummer. Der Begriff schließt alle Informationen ein, durch die eine lebende Person direkt oder indirekt identifiziert werden kann. Beispielsweise könnte die Kombination aus Berufsbezeichnung und Postleitzahl ausreichen, um eine Person eindeutig herauszugreifen, selbst wenn Sie ihren Namen nie kannten. Entscheidend ist der Unterschied zwischen Daten, die eine Person für sich allein identifizieren (direkter Identifikator), und Daten, die dies erst in Verbindung mit anderen Angaben ermöglichen (indirekter Identifikator). Beide fallen unter die Verordnung.

Ein häufiger Prüfungstrick besteht darin, einen Datensatz vorzulegen, aus dem der Name entfernt wurde, der aber weiterhin eine eindeutige Mitarbeiternummer oder einen genauen GPS-Standort enthält. Denken Sie daran, dass auch Online-Kennungen wie eine IP-Adresse oder Cookie-ID als personenbezogene Daten gelten, wenn sie einer Person zugeordnet werden können. Um nicht auf eine Ablenkungsantwort hereinzufallen, fragen Sie sich: Könnte eine vernünftige Person diese Daten mithilfe verfügbarer Informationen mit einer bestimmten natürlichen Person verknüpfen? Wenn ja, handelt es sich um personenbezogene Daten. Achten Sie auch auf pseudonymisierte Daten – sie bleiben personenbezogene Daten, wenn der Schlüssel zur erneuten Identifizierung noch irgendwo vorhanden ist.

Ein schneller gedanklicher Test: Stellen Sie sich vor, Sie finden eine Tabelle, die nur „Kunde 123“ und eine Kaufhistorie enthält. Wenn Sie außerdem über eine separate Liste verfügen, die „Kunde 123“ mit „Jane Smith“ verknüpft, enthalten beide Datensätze personenbezogene Daten. Sobald eine Information einer realen Person zugeordnet werden kann, selbst über einen Code oder eine Kombination von Angaben, findet die GDPR Anwendung. Das ist der Kern des Tests der „identifizierbaren Person“ – konzentrieren Sie sich auf die Verknüpfung und nicht nur auf die Bezeichnung.