Personenbezogene Daten

Gemäß der DSGVO (Datenschutz-Grundverordnung) sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 DSGVO).

Normale personenbezogene Daten

Normale personenbezogene Daten umfassen Informationen, die eine Person direkt oder indirekt identifizieren können:

• Name (Vorname, Nachname)
• Adresse (Straße, Ort, Postleitzahl)
• E-Mail-Adresse
• Telefonnummer
• Geburtsdatum
• IP-Adresse
• Standortdaten
• Online-Kennungen (z.B. Cookies, Geräte-IDs)
• Bankverbindung oder Kreditkartennummern
• Kunden- oder Mitarbeiternummern

Besondere Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind besonders sensibel und unterliegen strengeren Verarbeitungsanforderungen. Ihre Verarbeitung ist grundsätzlich untersagt, sofern kein spezifischer Ausnahmegrund greift:

• Rassische oder ethnische Herkunft
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische Daten
• Biometrische Daten zur eindeutigen Identifizierung (z.B. Fingerabdrücke, Gesichtserkennung)
• Gesundheitsdaten
• Daten zum Sexualleben oder zur sexuellen Orientierung

Grundsätze der Verarbeitung (Art. 5 DSGVO)

Art. 5 DSGVO nennt die Grundsätze, die jede Verarbeitung personenbezogener Daten erfüllen muss. Sie gelten zusätzlich zu einer Rechtsgrundlage: Eine Verarbeitung, die durch Art. 6 DSGVO gedeckt ist, bleibt rechtswidrig, wenn sie einen dieser Grundsätze verletzt.

Grundsatz	Bedeutung
Rechtmäßigkeit, Treu und Glauben, Transparenz	Die Verarbeitung braucht eine Rechtsgrundlage, muss für die betroffene Person nachvollziehbar sein und darf nicht verdeckt erfolgen
Zweckbindung	Daten werden für festgelegte Zwecke erhoben und dürfen später nicht für einen unvereinbaren Zweck genutzt werden
Datenminimierung	Es dürfen nur Daten verarbeitet werden, die für den Zweck angemessen und erforderlich sind
Richtigkeit	Daten müssen sachlich richtig und aktuell sein, unrichtige Daten sind zu berichtigen oder zu löschen
Speicherbegrenzung	Daten werden nur so lange aufbewahrt, wie sie für den Zweck benötigt werden, danach werden sie gelöscht oder anonymisiert
Integrität und Vertraulichkeit	Angemessene technische und organisatorische Maßnahmen schützen die Daten vor Verlust und unbefugtem Zugriff
Rechenschaftspflicht	Der Verantwortliche muss die Einhaltung all dieser Grundsätze nachweisen können

Folgen für die Praxis:

• Zweckbindung bedeutet, dass eine zur Bestellabwicklung erhobene E-Mail-Adresse nicht einfach für einen Newsletter genutzt werden darf.
• Datenminimierung betrifft jedes Eingabeformular: Ein Feld, das für den Zweck nicht benötigt wird, darf kein Pflichtfeld sein.
• Speicherbegrenzung erfordert ein Löschkonzept mit Aufbewahrungsfristen je Datenkategorie, das mit gesetzlichen Aufbewahrungspflichten, etwa aus dem Steuerrecht, in Konflikt geraten kann.
• Integrität und Vertraulichkeit entsprechen den klassischen Schutzzielen, umgesetzt über Verschlüsselung, Zugriffskontrolle, Protokollierung und Backups.
• Rechenschaftspflicht kehrt die Beweislast um: Der Verantwortliche muss die Rechtmäßigkeit belegen, nicht die betroffene Person den Verstoß. Dazu dienen das Verzeichnis von Verarbeitungstätigkeiten, die Rechtsgrundlage je Tätigkeit und Nachweise über erteilte Einwilligungen.

Rechtsgrundlagen der Datenverarbeitung (Art. 6 DSGVO)

Personenbezogene Daten dürfen nur verarbeitet werden, wenn mindestens eine der folgenden Rechtsgrundlagen vorliegt:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Die betroffene Person hat ihre freiwillige, informierte und unmissverständliche Einwilligung zur Verarbeitung ihrer Daten für einen oder mehrere bestimmte Zwecke erteilt. Die Einwilligung kann jederzeit widerrufen werden.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Partei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen auf ihre Anfrage erforderlich (z.B. Abwicklung eines Kauf- oder Arbeitsvertrags).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich (z.B. steuerliche oder buchhalterische Pflichten).
• Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d DSGVO): Die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen oder einer anderen Person erforderlich (z.B. in einem medizinischen Notfall).
• Öffentliche Aufgabe (Art. 6 Abs. 1 lit. e DSGVO): Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich (z.B. IT-Sicherheit), sofern nicht die Interessen, Grundrechte oder Grundfreiheiten der betroffenen Person überwiegen. Es ist eine Interessenabwägung erforderlich; Behörden können sich bei der Erfüllung ihrer Aufgaben nicht auf diese Grundlage berufen.

Rechte der Betroffenen

• Recht auf Auskunft (Art. 15 DSGVO): Das Recht, Auskunft darüber zu erhalten, ob personenbezogene Daten verarbeitet werden, und gegebenenfalls eine Kopie dieser Daten sowie Informationen über die Verarbeitung zu erhalten.
• Recht auf Berichtigung (Art. 16 DSGVO): Das Recht, unrichtige oder unvollständige personenbezogene Daten unverzüglich berichtigen zu lassen.
• Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO): Das Recht, die Löschung personenbezogener Daten zu verlangen, z.B. wenn diese für den ursprünglichen Zweck nicht mehr benötigt werden, die Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Das Recht, in bestimmten Fällen die Einschränkung der Verarbeitung zu verlangen, z.B. während die Richtigkeit der Daten bestritten wird.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Das Recht, personenbezogene Daten in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln (gilt für einwilligungs- oder vertragsbasierte Verarbeitungen).
• Widerspruchsrecht (Art. 21 DSGVO): Das Recht, der Verarbeitung auf Grundlage berechtigter Interessen oder öffentlicher Aufgaben zu widersprechen sowie der Verarbeitung zu Direktmarketingzwecken (dieser Widerspruch ist stets ohne Interessenabwägung zu berücksichtigen).
• Recht auf Schutz vor automatisierten Entscheidungen (Art. 22 DSGVO): Das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruht und rechtliche oder ähnlich bedeutende Wirkungen entfaltet.
• Beschwerderecht (Art. 77 DSGVO): Das Recht, Beschwerde bei einer Aufsichtsbehörde einzureichen, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung gegen die DSGVO verstößt.