Personenbezogene Daten [personal data]

Alle Informationen, die sich auf einen identifizierten oder identifizierbaren Menschen beziehen.
Datenschutzaufsichtsbehörden und Gerichte haben versucht, das Konzept verständlich(er) zu operationalisieren, damit in der Praxis überprüft werden kann, ob bestimmte vorliegende Daten als personenbezogen anzusehen sind. Dabei wurde u. a. von der Article 29 Data Protection Working Party der EU in der „Opinion 4/2007 on the concept of personal data“ im Jahr 2007 Folgendes festgehalten:
Daten sollen als personenbezogen angesehen werden, wenn es

1) eine identifizierbare Person gibt und sich

2) die Daten auf diese Person beziehen, wobei diese Beziehung über ein „Inhaltselement“, ein „Zweckelement“ oder ein „Ergebniselement“ erfolgen kann.

• Ein „Inhaltselement“ ist immer dann vorhanden, wenn unabhängig vom Zweck Informationen über eine bestimmte Person gegeben werden. Informationen „beziehen“ sich auf eine Person, wenn es sich um Informationen über diese Person handelt, z. B. beziehen sich die Ergebnisse einer ärztlichen Untersuchung eindeutig auf den Patienten. Dabei ist es egal, ob die Daten inhaltlich korrekt sind oder nicht; auch Falschangaben können personenbezogen sein.
• Ein „Zweckelement“ liegt vor, wenn die Daten mit dem Zweck verwendet werden, eine Person zu beurteilen, in einer bestimmten Weise zu behandeln oder ihre Stellung oder ihr Verhalten zu beeinflussen.
• Ein „Ergebniselement“ ist dann vorhanden, wenn sich die Verwendung von Daten unter Berücksichtigung aller jeweiligen Begleitumstände auf die Rechte und Interessen einer bestimmten Person auswirkt. Bei dem möglichen Ergebnis muss es sich nicht unbedingt um nachhaltige Auswirkungen handeln; es reicht aus, wenn die Person aufgrund der Verarbeitung ihrer Daten anders behandelt werden könnte als andere Personen.

Als personenbezogene Daten gelten Identifikationsmerkmale (Name, Anschrift, Geburtsdatum etc.), äußere Merkmale (Geschlecht, Augenfarbe, Größe, Gewicht etc.), innere Zustände (Meinungen, Motive, Wünsche, Überzeugungen, Werturteile etc.) und sachliche Informationen (Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen sowie alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt).
Das Konzept ist so breit, dass man fast immer davon ausgehen kann, dass Daten personenbezogen sind, es sei denn, man hat schon nachgewiesen, dass die Daten anonymisiert sind.