Regeln
Was personenbezogene Daten sind, mit Beispielen vom Namen bis zur IP-Adresse, was nicht darunterfällt und was dies für Akten in KI-Chatbots bedeutet.
Personenbezogene Daten sind alle Angaben über einen lebenden Menschen oder Angaben, die ihm zugeordnet werden können. Name und Adresse gehören dazu, aber auch Kundennummer, Foto, IP-Adresse oder eine Notiz zum Verhalten. Ob die Information öffentlich oder geschäftlich ist, spielt keine Rolle. Entscheidend ist, ob sich herausfinden lässt, um wen es geht.
Die Definition steht in Artikel 4 Nummer 1 DSGVO: „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Das Gesetz nennt diese Person betroffene Person. Die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde, fasst dies auf ihrer Seite Was sind personenbezogene Daten? so zusammen: Die Information betrifft jemanden direkt oder lässt sich dieser Person zuordnen.
Dieser Artikel erklärt den Begriff. Er ist keine Rechtsberatung. Bei Grenzfällen benötigen Sie die Beurteilung eines Juristen oder Ihres Datenschutzbeauftragten.
Die europäischen Aufsichtsbehörden teilten die Definition in ihrer Stellungnahme zum Begriff personenbezogene Daten von 2007 in vier Elemente auf. Die Stellungnahme betrifft die Vorgängerrichtlinie der DSGVO, auf die die AP weiterhin verweist.
Der Begriff ist weit gefasst. Er umfasst Fakten wie ein Geburtsdatum und Bewertungen wie eine Beurteilung im Mitarbeitergespräch. Die Form spielt keine Rolle: Text, Bild, Ton oder eine Zahl in einer Tabelle.
Informationen beziehen sich auf jemanden, wenn sie etwas über die Person aussagen, zu ihrer Bewertung oder Behandlung verwendet werden oder Folgen für sie haben können. Die Stellungnahme nennt das Wartungsverzeichnis einer Werkstatt. Die Angaben betreffen ein Auto. Verknüpft die Werkstatt sie zum Rechnungsversand mit dem Eigentümer, betreffen sie auch diesen.
Identifiziert ist jemand, dessen Identität bekannt ist. Identifizierbar ist jemand, dessen Identität ermittelt werden kann. Das Gesetz nennt als Hilfsmittel Namen, Kennnummern, Standortdaten, Online-Kennungen sowie Merkmale der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität.
Die DSGVO schützt Menschen. Eine niederländische B.V., eine Stiftung oder eine Gemeinde ist keine natürliche Person. Für Verstorbene gilt sie ebenfalls nicht. Beide Punkte folgen unten, denn es gibt Ausnahmen.
Die AP unterscheidet direkte und indirekte personenbezogene Daten. Direkte Daten betreffen jemanden unmittelbar: Name oder Passfoto. Indirekte Daten betreffen jemanden nicht unmittelbar, sagen aber zusammen mit anderen Angaben etwas über eine Person aus.
Erwägungsgrund 26 DSGVO gibt den Maßstab. Sie berücksichtigen alle Mittel, die die Organisation oder andere nach allgemeinem Ermessen wahrscheinlich zur Identifizierung nutzen. Objektive Faktoren zählen: Kosten, Zeitaufwand, verfügbare Technik und ihre Entwicklung.
Das bedeutet zweierlei. Eine theoretische Möglichkeit, die vernünftigerweise niemand nutzt, macht Angaben noch nicht personenbezogen. Und was heute nicht zuordenbar ist, kann es in einigen Jahren sein.
Eine Angabe sagt manchmal wenig. Zwei oder drei zusammen weisen auf eine Person. Die AP nennt auf ihrer Seite zur Pseudonymisierung ein Beispiel: Ein Geburtsdatum mit den vier Ziffern einer niederländischen Postleitzahl ist oft eindeutig genug, um jemanden zu finden.
Bei Akten funktioniert es ebenso. Ein fiktives Beispiel: Im Bericht des Buchhaltungsbüros De Meerkoet steht, dass „der Inhaber der Bäckerei am Platz“ Zahlungsrückstände hat. Wer das Dorf kennt, benötigt keinen Namen.
Die AP nennt naheliegende Beispiele wie Namen, Adresse, Telefonnummer und Passfoto. Daneben nennt sie Internetaktivitäten und Käufe, Allergien, Kunden- und Personalnummern sowie Kamera- oder Tonaufnahmen, auf denen jemand erkennbar ist.
Die Tabelle behandelt Angaben, bei denen Organisationen am häufigsten zweifeln. „Hängt ab“ bedeutet: Prüfen Sie, wer die Angabe hat und was diese Person damit tun kann.
| Angabe | Personenbezogen? | Warum |
|---|---|---|
| Name, Adresse, Telefonnummer | Ja | Weist unmittelbar auf jemanden hin. |
| Persönliche E-Mail-Adresse, auch namensbezogene Geschäftsadresse | Ja | Gehört zu einer Person; die AP zählt eine von einem Mitarbeiter genutzte Firmenadresse dazu. |
| Allgemeine Organisationsadresse wie info@ | Hängt ab | Nicht personenbezogen, solange die Organisation gemeint ist; wohl aber bei Nutzung durch nur eine Person. |
| Kunden- oder Personalnummer | Ja | Kennnummer, über die die Organisation die Person findet. |
| BSN (niederländische Bürgerservicenummer) | Ja | Eindeutige Personennummer mit eigenen gesetzlichen Nutzungsregeln. |
| IP-Adresse | Hängt ab, meistens ja | Das Gesetz nennt Online-Kennungen; laut AP kann eine IP-Adresse personenbezogen sein. |
| Niederländisches Kennzeichen | Hängt ab, meistens ja | Lässt sich auf den Fahrzeughalter zurückführen. |
| Foto oder Kamerabild | Ja, wenn jemand erkennbar ist | Bild, auf dem eine Person erkennbar ist. |
| Sprachaufnahme | Ja, wenn jemand erkennbar ist | Die AP nennt Tonaufnahmen mit erkennbaren Personen. |
| Standortdaten eines Telefons oder Autos | Ja | Gesetzlich genannte Kennung; laut AP sensible Daten. |
| Name, Adresse und KvK-Nummer (niederländische Handelsregisternummer) einer B.V. | Nein, außer | Angaben über eine juristische Person; personenbezogen bei abgeleitetem Personennamen oder Aussage über den Eigentümer. |
| Angaben über Verstorbene | Nein, außer | Außerhalb der DSGVO, sofern sie nicht auch etwas über Lebende aussagen. |
| Akte mit durch Codes ersetzten Namen | Ja, für Personen mit dem Schlüssel | Pseudonymisiert ist nicht anonym. |
Erwägungsgrund 30 DSGVO nennt IP-Adressen, Cookie-Kennungen und ähnliche Gerätekennungen. Sie hinterlassen Spuren, die besonders zusammen mit anderen Informationen zur Profilbildung und Identifizierung genutzt werden können.
Fotos, Besprechungsaufzeichnungen oder Überwachungsvideos sind personenbezogene Daten, wenn jemand erkennbar ist. Auch Gesprächsabschriften: Darin stehen Namen, und Äußerungen betreffen die sprechende Person. Was dies für automatische Berichte bedeutet, lesen Sie unter KI-Protokolle und die DSGVO.
Die AP nennt zwei Arten, die laut DSGVO nicht personenbezogen sind: Daten über Organisationen und Verstorbene. Hinzu kommen anonyme Daten. Bei allen drei gilt ein Vorbehalt.
Erwägungsgrund 14 sagt, dass die DSGVO nicht Daten juristischer Personen wie Unternehmensname, Rechtsform und Kontaktdaten betrifft. Laut AP ändert sich das, wenn die Information auch etwas über einen Menschen aussagt. Sie nennt drei Fälle:
In diesen Fällen sind es personenbezogene Daten.
Erwägungsgrund 27 sagt, dass die DSGVO nicht für Daten Verstorbener gilt und Mitgliedstaaten eigene Regeln erlassen dürfen. Die AP betont die Kehrseite: Informationen über Verstorbene können etwas über Lebende aussagen, etwa bei einer Erbkrankheit. Dann sind es personenbezogene Daten dieser lebenden Person.
Daten sind anonym, wenn sie sich nicht auf identifizierbare Personen beziehen oder so bearbeitet wurden, dass niemand mehr identifizierbar ist. Erwägungsgrund 26 nimmt sie von der DSGVO aus. Die Hürde ist hoch. Einen Namen zu entfernen genügt nicht, wenn der Rest des Dokuments auf jemanden hinweist.
Nicht alle personenbezogenen Daten werden gleich behandelt. Je sensibler die Angabe, desto strenger die Regeln.
Die AP verwendet daneben sensible personenbezogene Daten für gesetzlich nicht gesondert behandelte Angaben mit größerer Auswirkung: elektronische Kommunikation, Standortdaten, Finanzdaten und BSN. Eine vollständige Liste besteht nicht.
Die acht besonderen Kategorien, Ausnahmen und Fehler werden unter Besondere Kategorien personenbezogener Daten erläutert.
Ja, für die Organisation mit dem Schlüssel. Pseudonymisierung ist nach Artikel 4 Nummer 5 eine Verarbeitung, bei der die Person ohne getrennt aufbewahrte Zusatzinformationen nicht zugeordnet werden kann. Erwägungsgrund 26 ergänzt, dass mit Zusatzinformationen zuordenbare pseudonymisierte Daten als Angaben über eine identifizierbare Person gelten.
Die AP nennt Pseudonymisierung eine Sicherheitsmaßnahme und sagt ausdrücklich, dass es keine Anonymisierung ist. Sie warnt vor der halben Variante: Nur direkt identifizierende Angaben wie Namen zu entfernen ist keine Pseudonymisierung, wenn der Rest zur Identifizierung ausreicht.
Ob dieselben Daten für einen Empfänger ohne Schlüssel personenbezogen sind, behandelte der Gerichtshof 2025. Die Bedeutung und Grenzen des Urteils stehen unter Pseudonymisieren oder anonymisieren. Daneben gibt es einen europäischen Vorschlag zur Änderung der Definition. Solange er kein Gesetz ist, gilt Artikel 4 wie oben. Prüfen Sie den Stand, bevor Sie darauf aufbauen.
Für die DSGVO ist ein Chatbot kein Sonderfall. Entscheidend ist, was Sie mit den Daten tun; das heißt Verarbeitung.
Verarbeitung ist nach Artikel 4 Nummer 2 praktisch alles: Erheben, Speichern, Abfragen, Offenlegen und Löschen. Text ins Chatfenster einzufügen oder Dateien hochzuladen gehört dazu: Sie geben Daten an den Chatbot-Anbieter. Die AP warnte im August 2024, sie habe mehrere Datenpannenmeldungen erhalten, weil Mitarbeitende Patienten- oder Kundendaten mit KI-Chatbots geteilt hatten.
Nicht nur der Name auf dem Deckblatt zählt. Auch Unterschrift, Aktenzeichen, niederländisches Kennzeichen im Schadenformular, Sachbearbeitername in der Fußzeile und die Bemerkung über „den Nachbarn aus Nummer 12“ sind personenbezogen. Wer nur den Kundennamen entfernt, gibt somit weiterhin personenbezogene Daten ein.
Anforderungen je Datenart vom Namen bis zur BSN stehen unter Kundendaten in einem KI-Chatbot: Regeln je Datenart. Den Überblick finden Sie unter ChatGPT, Claude, Mistral Vibe und die DSGVO.
PrivaSearch steht zwischen Ihren Dokumenten und dem KI-Modell. Personenbezogene Daten wie Namen, Adressen, BSNs, IBANs, niederländische Kennzeichen und Geburtsdaten werden innerhalb von PrivaSearch erkannt und durch Pseudonyme ersetzt. Die Schritte stehen unter So funktioniert PrivaSearch.
Automatische Erkennung ist nie vollständig. Eine seltene Funktion in einem kleinen Dorf ist kein Name, weist aber auf jemanden hin. Deshalb sieht ein Kollege das Original neben dem pseudonymisierten Text, ergänzt Übersehenes und gibt ihn frei. Erst danach ist ein Dokument durchsuchbar. Diese Prüfung ist verpflichtend.
Ein verbundener KI-Assistent erhält nur freigegebene, pseudonymisierte Textstellen mit Quellenangabe, keine Originaldateien, Dateinamen oder Links. Verbindungen sind mit Claude, ChatGPT Business und Mistral Vibe (früher Le Chat) möglich. Ihre eigenen Eingaben gehen direkt an den Anbieter: Geben Sie dort keine Namen ein.
Für Ihre Organisation bleiben die Textstellen personenbezogen, weil Sie Pseudonyme auflösen können. Rechtsgrundlage, Verarbeitungsverzeichnis und gegebenenfalls DSFA bleiben deshalb Ihre Aufgabe. Ihre Umgebung erstellt Vorlagen, keine Rechtsberatung. Mehr steht unter DSGVO und EU AI Act (KI-Verordnung). Möchten Sie dies mit Ihrer Aktenart sehen, fragen Sie eine Demo an.
Alle Informationen über eine identifizierte oder identifizierbare natürliche Person. Das ist die Definition aus Artikel 4 DSGVO. Dazu gehören direkt personenbezogene Angaben wie Namen und Angaben, mit denen jemand identifiziert werden kann, etwa Kundennummern oder Merkmalskombinationen. Unternehmensdaten und wirklich anonyme Daten gehören nicht dazu.
Häufig ja. Die DSGVO nennt Online-Kennungen in der Definition; ihre Erwägungsgründe nennen IP-Adressen als Merkmale zur Identifizierung, besonders zusammen mit anderen Informationen. Die Autoriteit Persoonsgegevens schreibt, dass eine IP-Adresse personenbezogen sein kann. Es hängt davon ab, wer sie hat und was diese Person damit tun kann.
Eine Adresse mit Mitarbeiternamen ist personenbezogen, auch bei beruflicher Nutzung. Eine allgemeine Organisationsadresse betrifft zunächst die Organisation und ist es grundsätzlich nicht. Laut Autoriteit Persoonsgegevens wird sie personenbezogen, wenn nur ein bestimmter Mitarbeiter sie nutzt. Bei Einzelunternehmen oder kleinen Büros ist das häufig der Fall.
Nein, die DSGVO gilt nicht für Daten Verstorbener. Eine wichtige Ausnahme: Sagen die Angaben auch etwas über Lebende aus, sind es deren personenbezogene Daten. Die Aufsichtsbehörde nennt eine Erbkrankheit als Beispiel. Andere Regeln können weiterhin gelten; fragen Sie im Zweifel einen Juristen.
Ja, jedenfalls für die Organisation, die Pseudonyme auflösen kann. Bei Pseudonymisierung wird die Personenzuordnung getrennt aufbewahrt, besteht aber weiter. Die DSGVO betrachtet mit Zusatzinformationen zuordenbare Daten als Angaben über identifizierbare Personen. Nur so bearbeitete Daten, dass niemand mehr identifizierbar ist, sind anonym.
Nur mit vorherigen Regelungen. Eingeben ist Verarbeitung: Sie geben Daten an den Anbieter. Sie benötigen eine Rechtsgrundlage, einen mit dem Erhebungszweck vereinbaren Zweck, einen Geschäftsdienst mit Auftragsverarbeitungsvertrag und eine Grundlage für Übermittlungen außerhalb der EU. Für besondere Kategorien gelten strengere Regeln. Bei kostenlosen oder persönlichen Konten ist dies nicht geregelt.
Der Zeitplan des AI Act nach dem digitalen Omnibus: Was bereits gilt, was auf 2027 und 2028 verschoben wurde und was Sie als KI-Nutzer jetzt regeln.
Was ein Deepfake ist, welche Regeln jetzt gelten, welches Verbot bevorsteht und was Organisationen gegen Betrug mit gefälschter Stimme oder Video tun.
Was das niederländische Algoritmeregister und das IAMA sind, was Pflicht ist und was nicht und was eine Gemeinde beim Einsatz von KI-Chatbots regelt.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →