Source: https://www.b-netcons.de/index.php/eu-dsgvo/personenbezogene-daten-was-ist-das.html
Timestamp: 2019-02-21 13:29:23
Document Index: 119056324

Matched Legal Cases: ['§ 3', 'Art. 4', '§ 3', '§ 3', '§ 3', '§ 4', '§ 33', 'Art. 15', '§ 4', '§ 4', '§ 4', 'EuG', 'EuG']

Ihr Partner B-NetCons GmbH - Personenbezogene Daten - was ist das?
Was sind nun eigentlich "Personenbezogene Daten"? - Definition nach BDSG, BDSG_neu und EU-DSGVO
In Artikel 2 Ziffer a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr heißt es:
Im Sinne dieser Richtlinie bezeichnet der Ausdruck "personenbezogene Daten" alle Informationen über eine bestimmte oder bestimmbare natürliche Person ("betroffene Person"); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kenn-Nummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind.
Damit sind alle Informationen umfasst, die über eine Person etwas aussagen. Diese Informationen müssen sich nicht zwingend auf eine bestimmte Person beziehen (wie bspw. beim Namen oder einem Foto des Betroffenen), ausreichend ist vielmehr, dass zu der jeweiligen Person ein Bezug hergestellt werden kann. So können - zumindest bei entsprechendem Zusatzwissen - auch Telefonnummer, Matrikelnummern, Sozialversicherungsnummern, persönlich zugeteilte Berechtigungskennzeichen und u.U. IP-Adressen personenbeziehbare und damit datenschutzrelevante Informationen sein.
Es gibt keine Abstufung zwischen mehr oder weniger schützenswerten Daten. Das Bundesverfassungsgericht spricht davon, dass es keine "belanglosen" Daten gibt. Damit ist beispielsweise die Telefonnummer nicht minder schützenswert als die Haarfarbe.
Die gesetzliche Definition spricht von Daten "natürlicher Personen". Damit wird zugleich ausgesagt, dass der Schutz der Datenschutzgesetze mit dem Tod enden. Es greift dann jedoch das postmortale Persönlichkeitsrecht, das den Schutz der Daten Verstorbener in gewissem Umfang beinhaltet. Für die genaue Ausgestaltung kommt es auf den Einzelfall an, in dem für die weitere Auslegung wiederum auf die Datenschutzgesetze zurückgegriffen werden kann.
Der Datenschutz soll als Teilbereich des allgemeiner gefassten Bereichs der Datensicherheit spezifische Datensätze vor Missbrauch und unbefugtem Zugriff bewahren, nämlich die personenbezogenen Daten.
Die entsprechenden Datenschutzbestimmungen finden sich zum einen im Bundesdatenschutzgesetz, zum anderen jedoch noch maßgeblicher in der europäischen Datenschutz-Grundverordnung (EU-DSGVO), welche ab Mai 2018 für alle EU-Mitgliedstaaten verbindlich wird. Sowohl das BDSG, BDSG_neu und die EU-DSGVO als auch die zahlreichen Landesgesetze zum Datenschutz enthalten Defintitionen zu einzelnen Begrifflichkeiten, auf die sich die Texte beziehen.
Die Definition des Begriffs “personenbezogene Daten” gleicht sich entsprechend. Aber welche Daten genau sind nun personenbezogen? Grundsätzlich sind das alle Daten, die sich einer bestimmten oder bestimmbaren natürlichen Person zuordnen lassen. Natürliche Person ist ein jeder Mensch in seiner Funktion als Träger von bestimmten Rechten und Pflichten.
Die EU-DSGVO erweitert diese allgemeine Definition noch ein wenig: Personenbezogene Daten sind hiernach Angaben, die bei Zuordnung zu einer natürlichen Person Einblicke ermöglichen in deren physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität (Artikel 4 Ziffer 1 DSGVO). Immer noch zu allgemein - welche personenbezogene Daten gibt es nun im Einzelnen?
Die Arten personenbezogener bzw. auf Personen beziehbarer Daten sind zahlreich. Eine abschließende Zusammenfassung lässt sich kaum bewältigen. Im Folgenden jedoch eine Liste entsprechender Werte, um einen ersten Eindruck geben sollen, was alles unter personenbezogene Daten fällt:
allgemeine Personendaten (Name, Geburtsdatum und Alter, Geburtsort, Anschrift, E-Mail-Adresse, Telefonnummer etc.)
Kenn-Nummern (Sozialversicherungsnummer, Steueridentifikationsnummer, Nummer bei der Krankenversicherung, Personalausweisnummer etc.)
Bankdaten (Kontonummern, Kreditinformationen, Kontostände etc.)
Online-Daten (IP-Adresse, Standortdaten etc.)
physische Merkmale (Geschlecht, Haut-, Haar- und Augenfarbe, Statur, Kleidergröße etc.)
Besitzmerkmale (Fahrzeug- und Immobilieneigentum, Grundbucheintragungen, Kfz-Kennzeichen, Zulassungsdaten etc.)
Kundendaten (Bestellungen, Adressdaten, Kontodaten etc.)
Werturteile (Schul- und Arbeitszeugnisse etc.)
In den einzelnen Landesdatenschutzgesetzen werden die allgemeinen personenbezogenen Daten an folgenden Stellen definiert:
Baden-Württemberg - § 3 Abs. 1 LDSG BW
Bayern - Art. 4 Abs. 1
Niedersachsen - § 3 Abs. 1 NDSG
Nordrhein-Westfalen - § 3 Abs. 1 DSG NRW
Sachsen - § 3 Abs. 1 SächsDSG
Daneben existieren auch noch besondere personenbezogene Daten, die eines erhöhten Schutzes bedürfen. Die Vorschriften zur Sammlung und Verarbeitung solcher Daten sind wesentlich strenger. Solche besonders sensible personenbezogene Daten sind nach § 4 Absatz 9 BDSG:
Angaben über rassische sowie ethnische Herkunft
religiöse sowie philosophische Überzeugung
Angaben über die Gesundheit einer Person
Daten zur Sexualität eines Menschen
In den einzelnen Landesdatenschutzgesetzen werden die besonderen Arten an verschiedenen Stellen erwähnt:
Baden-Württemberg - § 33 Abs. 1 LDSG BW
Bayern - Art. 15 Abs. 7
Niedersachsen - § 4 Abs. 2 NDSG
Nordrhein-Westfalen - § 4 Abs. 3 DSG NRW
Sachsen - § 4 Abs. 2 SächsDSG
Doch auch weniger eindeutige Informationen können einen Personenbezug ermöglichen. Einen vielleicht nicht ganz so eindeutigen Fall hatte der EuGH bereits zu entscheiden, in dem es um die Frage ging, ob es sich auch bei Arbeitszeiten um personenbezogene Daten handele. Doch der EuGH stellte klar: “Aufzeichnungen über die Arbeitszeiten (…), die die Angabe der Uhrzeit, zu der ein Arbeitnehmer seinen Arbeitstag beginnt und beendet, sowie der Pausen bzw. der nicht in die Arbeitszeit fallenden Zeiten enthalten, fallen unter den Begriff personenbezogene Daten (…)“.
Nicht jedes Unternehmen darf einfach alle Daten so einfach sammeln, welche gerade so kommen. Wenn es zulässig ist, dass diese oder jene öffentliche oder nichtöffentliche Stelle Daten sammelt und verarbeitet, muss Sie den Datenschutz gewährleisten. Das bedeutet:
Betroffene, deren Daten gesammelt, gespeichert und verarbeitet werden, haben zahlreiche Rechte. Personenbezogene Daten sind nämlich per Definition Eigentum der jeweiligen natürlichen Person aufzufassen. Die drei wichtigsten Rechte betreffen die Selbstbestimmung, den Auskunftsanspruch und die Löschung von Daten.
Nach diesem Urteil – und so wurde es auch im BDSG und der EU-DSGVO festgelegt – dürfe das Recht auf informationelle Selbstbestimmung nur in einem eng gesteckten gesetzlichen Rahmen eingeschränkt werden. Diese Einschränkungen enthalten staatliche und europäische Rechtsgrundlagen. Die wichtigste Regelung, die in Bezug auf personenbezogene Daten zu nennen ist: Jeder Betroffene muss in die Speicherung und Verarbeitung seiner Daten zu einem bestimmten Zweck zustimmen. Mit Inkrafttreten der EU-DSGVO 2018 genügt hierbei nicht mehr nur ein Stillschweigendes Einverständnis durch das Akzeptieren der Datenschutzerklärung. Personenbezogene Daten dürfen nur erhoben werden, wenn der Betroffene aktive Zustimmung zu dem Vorgang erteilt.
Ganz große Überraschung für viele datensammelnde Unternehmen: Dies gilt explizit natürlich auch für den bestehenden Datenbestand - also kein Freibrief für "alte" Daten!
Betroffene sind befugt, die zu Ihrer Person gespeicherten Daten bei Unternehmen und Behörden einzusehen. Die öffentlichen und nichtöffentlichen Stellen sind im Gegenzug zur Auskunft verpflichtet. Das ist besonders wichtig in Bezug auf die Auskunft über bei Wirtschaftsauskunfteien wie der Schufa hinterlegten Daten, welche die Bonität einer Person betreffen.
Aber auch bei den anderen Unternehmen wie beispielsweise diverse Marketingfirmen oder Anbieter sozialer Netzwerke, welche Verknüpfungen aus unterschiedlichsten Quellen vornehmen, wird die EU-DSGVO für erhebliche Auswirkungen im laufenden Geschäftsbetrieb sorgen.
Dies ist kein Grund zur Schadenfreude - jedes Unternehmen mit Daten zu Kunden, Lieferanten oder auch Mitarbeitern ist betroffen. Auch der leider nach wie vor weit verbreitet Irrglaube, dies betreffe nur Großunternehmen, ist komplett falsch und eine bewusste Verdrehung der Tatsachen.
JEDES Unternehmen mit der Speicherung von personenbezogenen Daten von beispielsweise Kunden, Prospects, Lieferanten oder auch Mitarbeitern ist angehalten, nach den Vorgaben der EU-DSGVO bzw. BDSG_neu zu agieren, andernfalls drohen existenzvernichtende Sanktionen.