Was zählt in einem Dokument als personenbezogene Daten? Zeile für Zeile erklärt

Personenbezogene Daten in einem Dokument sind alle Informationen über einen lebenden Menschen, den man direkt oder indirekt identifizieren kann. Dazu gehört ein Name, aber auch eine Personalnummer oder eine Funktion, die nur eine Person ausübt. Daten über ein Unternehmen als solches zählen nicht.

Dieser Leitfaden gibt das EU-Recht mit Stand September 2026 wieder, mit Hinweisen deutscher Aufsichtsbehörden.

Was versteht die DSGVO unter personenbezogenen Daten?

Art. 4 Nr. 1 DSGVO erfasst alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Natürliche Person heißt: ein Mensch, keine Gesellschaft. Alle Informationen ist weit gefasst: ein Gehalt, eine Beurteilung, ein Kommentar über jemanden.

Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer ... identifiziert werden kann. (Art. 4 Nr. 1 DSGVO)

Erwägungsgrund 26 stellt auf alle Mittel ab, die der Verantwortliche oder ein Dritter nach allgemeinem Ermessen wahrscheinlich nutzt, gemessen an Kosten und Zeitaufwand. Laut der Datenschutzaufsicht Baden-Württemberg muss das nötige Wissen nicht in einer Hand liegen. Entscheidend ist also, ob ein Leser herausfinden könnte, um wen es geht.

Was ist der Unterschied zwischen direkten und indirekten Kennungen?

Eine direkte Kennung zeigt für sich allein auf einen Menschen, etwa Vor- und Nachname. Eine indirekte Kennung braucht eine zweite Information: ein Register, eine Liste, den Zusammenhang. Die französische Aufsichtsbehörde CNIL nennt Telefonnummer, Kfz-Kennzeichen, Sozialversicherungsnummer, Adressen, Stimme und Bild. Sie warnt auch vor Kombinationen: eine Frau mit bestimmter Adresse, bestimmtem Geburtstag und bestimmtem Verein.

Welche Daten sind besondere Kategorien, und was gilt für Straftaten?

Art. 9 Abs. 1 DSGVO enthält eine abschließende Liste. Die Verarbeitung solcher Daten ist untersagt, außer eine Ausnahme nach Abs. 2 greift, etwa die ausdrückliche Einwilligung:

• Rassische und ethnische Herkunft
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische Daten
• Biometrische Daten zur eindeutigen Identifizierung einer Person
• Gesundheitsdaten
• Sexualleben oder sexuelle Orientierung

Diese Daten ergeben sich oft mittelbar aus dem Text. Die Datenschutzkonferenz (DSK, Kurzpapier Nr. 17, Stand 2018) nennt die Einnahme von Medikamenten oder den regelmäßigen Besuch einer bestimmten Kirche. Bloßer Alkoholkonsum ist kein Gesundheitsdatum, eine Alkoholabhängigkeit schon. Denken Sie im Dokument an eine Arbeitsunfähigkeit, einen Gewerkschaftsbeitrag auf der Gehaltsabrechnung, eine Arbeitsplatzanpassung wegen einer Behinderung.

Daten über Straftaten folgen einer eigenen Regel. Art. 10 DSGVO erfasst strafrechtliche Verurteilungen, Straftaten und damit zusammenhängende Sicherungsmaßregeln. Ihre Verarbeitung ist nur unter behördlicher Aufsicht zulässig oder wenn Unions- oder nationales Recht sie mit geeigneten Garantien erlaubt. Ein Führungszeugnis in einer Akte gehört hierher.

Was sind keine personenbezogenen Daten in einem Dokument?

Die DSGVO schützt Menschen, keine Unternehmen. Nach Erwägungsgrund 14 gilt sie nicht für Daten juristischer Personen, einschließlich Name, Rechtsform und Kontaktdaten. In der Regel nicht erfasst sind daher:

• Firma, Rechtsform und Sitz einer GmbH
• Die Registernummer eines Unternehmens (Europäische Kommission)
• Ein allgemeines Postfach nach dem Muster info (Europäische Kommission)
• Die Nummer der Telefonzentrale (CNIL)
• Unumkehrbar anonymisierte Daten (Europäische Kommission)
• Daten Verstorbener (Erwägungsgrund 27), vorbehaltlich nationaler Regeln

Vorsicht bei den Menschen hinter dem Unternehmen. Die Kommission führt eine namentliche dienstliche E-Mail-Adresse als personenbezogen auf. Laut der Datenschutzaufsicht Nordrhein-Westfalen können Angaben über die GmbH einer Einzelperson oder eine Einzelfirma auf den Menschen dahinter durchschlagen. Ein Vertrag zwischen zwei Gesellschaften nennt also Menschen: Unterzeichner, Ansprechpartner, Projektleitung.

Wirklich anonyme Daten fallen nicht unter die DSGVO (Erwägungsgrund 26). Pseudonymisierte Daten schon. Wer Erika Mustermann durch [NAME1] ersetzt, pseudonymisiert im Sinne von Art. 4 Nr. 5: Wer den Schlüssel hat, kann die Verbindung wiederherstellen. 2025 hat der Gerichtshof der EU bestätigt, dass solche Daten für einen Empfänger, der wirklich niemanden re-identifizieren kann, nicht zwingend personenbezogen sind (Rechtssache C-413/23 P, zur Verordnung für EU-Stellen). Gehen Sie nicht davon aus, dass das auf Sie zutrifft.

Wie liest man ein echtes Dokument Zeile für Zeile?

Nehmen wir ein erfundenes Schreiben der Muster Logistik GmbH an eine Beschäftigte, Erika Mustermann. Fragen Sie bei jeder Zeile: Betrifft sie einen Menschen, und könnte jemand ihn identifizieren?

Nur Zeile 1 enthält keine personenbezogenen Daten. Die Zeilen 4 und 7 betreffen besondere Kategorien. Zeile 5 nennt niemanden und zeigt doch auf eine Person. Wer nur den Namen schwärzt und das Schreiben an eine Beraterin schickt, verrät die Betroffene trotzdem: durch Personalnummer, Geburtsdatum, Funktion und Arbeitsunfähigkeit.

Wie prüfen Sie Ihr eigenes Dokument vor der Weitergabe?

1. 1Klären Sie, wer das Dokument liest und was diese Person wirklich braucht.
2. 2Markieren Sie direkte Kennungen: Namen, Unterschriften, namentliche E-Mail-Adressen, Fotos.
3. 3Markieren Sie Nummern: Personal-, Sozialversicherungs-, Konto- und Telefonnummern, Kennzeichen, Aktenzeichen.
4. 4Lesen Sie auf den Zusammenhang: Funktionen, Datumsangaben, Orte, seltene Tatsachen.
5. 5Suchen Sie Inhalte nach Art. 9 und 10: Gesundheit, Gewerkschaft, Religion, Politik, Sexualität, Genetik, Biometrie, Straftaten.
6. 6Denken Sie an Dritte: Kollegen, Zeugen, Angehörige.
7. 7Prüfen Sie Verstecktes: Dateieigenschaften, Kommentare, Änderungsverfolgung.
8. 8Bewahren Sie das Original sicher auf und geben Sie nur die geschwärzte Kopie weiter.

Software kann die Schritte 2 und 3 beschleunigen, denn Namen, E-Mail-Adressen, Telefonnummern, Anschriften, Ausweisnummern und Bankdaten folgen Mustern. ONYRI Sanitize zum Beispiel erkennt sie im Browser, ohne die Datei hochzuladen, und exportiert eine gerasterte Kopie ohne Text unter den Balken. Einen Detektor für medizinische Begriffe, Gehälter als solche oder Firmennamen gibt es dort nicht. Die Zeilen 4 und 5 brauchen also ein menschliches Auge: Ergänzen Sie solche Begriffe von Hand und prüfen Sie die Vorschau Treffer für Treffer vor dem Herunterladen.