Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (wobei das heutige DSG auch Angaben erfasst, die sich auf eine juristische Person beziehen, anders als die DSGVO und auch das revDSG). Bestimmt ist eine Person, wenn ihre Identität aus dem Datensatz selbst hervorgeht (z.B. «am Dienstag ass Frau Müller mit Herrn Peters im Restaurant X»). Zu viel mehr Diskussionen Anlass gibt die Frage, wann und durch wen eine Person bestimmbar ist. Das ist jedenfalls dann der Fall, wenn jemand, der Zugang zu einem Datum hat, dieses einer Person zuordnen kann, weil er über die erforderlichen Zusatzinformationen verfügt («Mitarbeiter 123452» ist für die HR-Abteilung ein Personendaten, für einen Aussenstehenden nicht unbedingt. Diskutiert wird vor allem, ob erst dann von Bestimmbarkeit auszugehen ist, wenn jemand mit Zugang zum Datum auf eine Person schliessen kann («relativer Ansatz») oder schon dann, wenn es ein beliebiger Dritter könnte («absoluter Ansatz»). In der Schweiz gilt nach dem Logistep-Urteil des Bundesgerichts der relative Ansatz. In Europa gilt nach dem Breyer-Entscheid des EuGH dasselbe, aber die Anforderungen an die Bestimmbarkeit werden recht niedrig angesetzt. Ebenfalls diskutiert wird, ob eine Identifikation Kenntnis des Namens oder eines anderen gängigen Identifikators voraussetzt, oder ob es schon genügt, dass eine Person – wenn auch unbekannt – von allen anderen unterschieden werden kann («Singularisierung»). Europäische Behörden scheinen sich vermehrt dem Konzept der Singularisierung zuzuwenden, letztlich aus reinen Schutzüberlegungen und daher eher als politischen als aus rechtlichen Gründen. Keine Personendaten sind Daten, die anonymisiert wurden.