CRM-Systeme, Personalakten, Server-Logs mit IP-Adressen: Kaum ein Unternehmen arbeitet ohne personenbezogene Daten, und meist liegen sie an deutlich mehr Stellen, als intern bekannt ist. Die DSGVO knüpft an ihre Verarbeitung weitreichende Pflichten – von der Rechtsgrundlage über die Dokumentation bis zur fristgebundenen Meldung von Datenpannen.
Für die IT ist der Begriff darum keine juristische Fußnote. Er entscheidet, welche Systeme besonderen Schutz benötigen und an welchen Stellen ein Sicherheitsvorfall richtig teuer wird.
Was sind personenbezogene Daten?
Artikel 4 DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist, wer sich direkt oder indirekt bestimmen lässt – etwa über Namen, Kennnummern, Standortdaten oder Online-Kennungen. Unter den Begriff fallen deshalb nicht nur Adresse und Geburtsdatum, sondern auch IP-Adressen, Gerätekennungen, Kundennummern und Bewegungsprofile.
Im Englischen ist die Abkürzung PII (Personally Identifiable Information) gebräuchlich. Sie wird oft synonym verwendet, ist im US-Verständnis jedoch enger gefasst als der europäische Begriff. Für Unternehmen im Geltungsbereich der DSGVO zählt die weite europäische Definition.
Nochmals strenger behandelt Artikel 9 DSGVO die besonderen Kategorien, darunter Gesundheitsdaten, biometrische und genetische Daten sowie Angaben zu Religion, politischen Überzeugungen oder sexueller Orientierung. Ihre Verarbeitung ist grundsätzlich verboten und nur unter engen Ausnahmen zulässig.
Wie der Schutz funktioniert
Wirksamer Schutz entsteht aus dem Zusammenspiel rechtlicher, organisatorischer und technischer Bausteine:
- Rechtsgrundlage klären: Jede Verarbeitung braucht eine Basis nach Artikel 6 DSGVO, etwa eine Einwilligung, einen Vertrag oder ein berechtigtes Interesse. Fehlt sie, ist die Verarbeitung unzulässig.
- Datenbestand kartieren: Das Verzeichnis von Verarbeitungstätigkeiten hält fest, welche Daten wo und zu welchem Zweck verarbeitet werden. Es dient zugleich als Landkarte für alle weiteren Schutzmaßnahmen.
- Datenminimierung umsetzen: Erhoben wird nur, was der Zweck erfordert. Löschkonzepte stellen sicher, dass Daten nach Fristablauf tatsächlich verschwinden.
- Technisch absichern: Artikel 32 DSGVO verlangt dem Risiko angemessene Maßnahmen – Verschlüsselung bei Übertragung und Speicherung, Zugriffe nach dem Need-to-know-Prinzip, Netzwerksegmentierung um Systeme mit sensiblen Daten sowie Protokollierung und getestete Backups.
- Organisatorisch verankern: Berechtigungsprozesse, Schulungen, Verträge zur Auftragsverarbeitung und ein eingespielter Meldeweg machen den Schutz praxistauglich. Für meldepflichtige Pannen bleiben 72 Stunden bis zur Meldung an die Aufsichtsbehörde.
Bei der technischen Umsetzung greifen viele Organisationen auf spezialisierte Dienstleister zurück: Systeme mit Kunden- oder Personaldaten werden etwa per Mikrosegmentierung isoliert, und die Visualisierung aller Verbindungen liefert zugleich den Nachweis für Datenschutzprüfungen.
Warum das Thema wichtig ist
- Bußgeldrahmen: Die DSGVO erlaubt Bußgelder bis 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes – maßgeblich ist der höhere Wert.
- Ansprüche Betroffener: Neben Behördenverfahren drohen Auskunftswellen und Schadenersatzforderungen, die nach einem Vorfall erhebliche Kapazitäten binden.
- Reputationsrisiko: Spätestens die Benachrichtigungspflicht gegenüber Betroffenen macht Datenpannen öffentlich. Verlorenes Vertrauen wirkt länger nach als jedes Bußgeld.
- Beliebtes Angriffsziel: Identitätsdaten lassen sich zu Geld machen. Systeme mit Personendaten stehen deshalb im Visier von Ransomware-Gruppen, die vor der Verschlüsselung Daten kopieren und mit Veröffentlichung drohen.
- Geschäftsfaktor: Wer Kundendaten nachweisbar schützt, besteht die Datenschutzprüfungen von Konzernkunden leichter und verhandelt aus besserer Position.
Typische Szenarien
Ein Handelsunternehmen führt Kundendaten aus Shop, CRM und Newsletter-System zusammen. Erst das Verzeichnis der Verarbeitungstätigkeiten zeigt, wie viele Kopien kursieren. Anschließend sinkt die Zahl der Speicherorte, und Zugriffe werden rollenbasiert begrenzt.
Ein Dienstleister verarbeitet Gesundheitsdaten für Krankenkassen. Wegen der besonderen Kategorien gelten verschärfte Vorgaben: eigene Netzsegmente für die Systeme, Protokollierung jedes Zugriffs, durchgehende Verschlüsselung der Übertragung.
Eine Ransomware-Gruppe dringt über einen kompromittierten Arbeitsplatz ein. Die strikt segmentierten Personalsysteme bleiben unerreichbar, der Vorfall beschränkt sich auf unkritische Systeme – eine Benachrichtigung der Belegschaft ist nicht erforderlich.
Personenbezogen trotz Pseudonym?
Pseudonymisierung tauscht direkte Identifikatoren gegen Kennungen aus, etwa eine Kundennummer statt des Namens. Der Personenbezug bleibt dennoch bestehen, weil sich die Zuordnung über den getrennt aufbewahrten Schlüssel wiederherstellen lässt. Die DSGVO gilt für solche Daten uneingeschränkt, wertet die Maßnahme aber als Risikominderung im Sinne von Artikel 32.
Davon abzugrenzen ist die Anonymisierung: Sie beseitigt den Personenbezug unumkehrbar, womit die DSGVO auf die Daten nicht mehr anwendbar ist. Die Messlatte liegt hoch – lässt sich der Bezug über Zusatzwissen oder die Verknüpfung mit anderen Quellen rekonstruieren, sind die Daten lediglich pseudonym. Vor Analysen und Tests lohnt deshalb die Prüfung, welche der beiden Stufen wirklich erreicht ist.
Häufige Fragen
Zählt eine IP-Adresse zu den personenbezogenen Daten?
In aller Regel ja. Auch dynamische IP-Adressen gelten als personenbezogen, wenn der Verantwortliche über rechtliche Wege den Anschlussinhaber ermitteln lassen kann – so hat es der Europäische Gerichtshof entschieden. Praktisch bedeutet das: Logdateien, Analysewerkzeuge und Firewalls verarbeiten personenbezogene Daten und gehören ins Verzeichnis der Verarbeitungstätigkeiten.
Welche Daten fallen unter die besonderen Kategorien?
Artikel 9 DSGVO nennt Daten mit erhöhtem Schutzbedarf: Gesundheitsdaten, genetische und biometrische Daten, Angaben zu ethnischer Herkunft, politischen Meinungen, religiösen Überzeugungen und Gewerkschaftszugehörigkeit sowie zu Sexualleben oder sexueller Orientierung. Ihre Verarbeitung ist nur unter engen Ausnahmen erlaubt und verlangt strengere Maßnahmen wie durchgehende Verschlüsselung und besonders restriktive Zugriffsrechte.
Bleiben pseudonymisierte Daten personenbezogen?
Ja. Solange sich der Bezug über einen Schlüssel oder Zusatzwissen wiederherstellen lässt, greift die DSGVO vollständig. Wertlos ist Pseudonymisierung deshalb nicht: Sie senkt das Risiko bei Vorfällen deutlich und wird in Artikel 32 DSGVO ausdrücklich als Schutzmaßnahme aufgeführt. Erst eine unumkehrbare Anonymisierung beendet die datenschutzrechtlichen Pflichten.
Welche technischen Maßnahmen schreibt die DSGVO vor?
Artikel 32 nennt beispielhaft Pseudonymisierung und Verschlüsselung sowie die Fähigkeit, Vertraulichkeit, Integrität und Verfügbarkeit dauerhaft zu gewährleisten. Konkrete Produkte gibt das Gesetz nicht vor; gefordert ist ein dem Risiko angemessenes Niveau. Bewährt haben sich Zugriffskontrolle mit Mehrfaktor-Authentifizierung, Netzwerksegmentierung, Protokollierung und regelmäßig getestete Backups.
Wann ist eine Datenpanne zu melden?
Eine Verletzung des Schutzes personenbezogener Daten muss der Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden gemeldet werden – außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen. Ob diese Frist haltbar ist, entscheiden vorbereitete Meldewege und eine saubere Protokollierung.