Welche Kategorien von personenbezogenen Daten gibt es?

Was ist personenbezogen?

Personenbezogen ist jede Information, die eine natürliche Person identifiziert oder identifizierbar macht. Identifiziert: direkter Bezug, z.B. Klarname. Identifizierbar: indirekter Bezug, z.B. IP-Adresse plus Browser-Fingerprint. Auch wenn die Identifikation Aufwand erfordert, gilt das Datum als personenbezogen, wenn der Aufwand realistisch leistbar ist.

Die sieben Standardkategorien

1) Allgemeine Personendaten: Name, Adresse, Mail, Geburtsdatum. 2) Physische Merkmale: Haarfarbe, Schuhgröße, Augenfarbe. 3) Besitzmerkmale: Grundbuch-Eintragungen, Kfz-Kennzeichen. 4) Kennnummern: Steuer-ID, Krankenkassennummer, Sozialversicherungsnummer. 5) Bankdaten: Kontonummer, Kontostand. 6) Onlinedaten: IP-Adresse, Social-Media-Account, Domain. 7) Kundendaten: Kaufhistorie, Vertragsdaten.

Besondere Kategorien (Artikel 9)

Die DSGVO definiert in Artikel 9 besonders sensible Datenkategorien: ethnische Herkunft, politische Meinung, religiöse Überzeugung, Gewerkschaftszugehörigkeit, Gesundheitsdaten, Sexualleben, biometrische und genetische Daten. Verarbeitung ist hier nur mit ausdrücklicher Einwilligung oder besonderem Rechtsgrund erlaubt. Bei Mitarbeiterdaten und Bewerbungen besonders relevant.

Praxis: Datenkategorisierung im Unternehmen

Bei jedem neuen Prozess (Bewerbung, Onboarding, Marketing-Kampagne) zuerst klären: Welche Daten verarbeiten wir? Welche Kategorien? Welche Rechtsgrundlage? Wer hat Zugriff? Wie lange speichern wir? Das ist die Grundlage für jede DSGVO-Compliance, ohne diese Bestandsaufnahme kann kein Datenschutzbeauftragter sauber arbeiten.