Darf ich eigentlich? Per­so­nen­be­zo­ge­ne Daten: Regeln und Rechte gemäß DSGVO

Personenbezogene Daten werden mittlerweile Tag für Tag in unberechenbar großer Menge gesammelt und gespeichert. Die Europäische Datenschutzgrundverordnung (DSGVO), die im Mai 2018 in Kraft getreten ist, soll hierbei Schutz bieten. Doch was sind personenbezogene Daten im Sinne der DSGVO eigentlich genau? Und wie müssen Institutionen und Unternehmen mit ihnen umgehen? Auf diese Fragen erhältst du hier Antworten.

Wir schützen dich vor Identitätsmissbrauch im Netz – und helfen im Ernstfall.

Warum ist der Schutz per­so­nen­be­zo­ge­ner Daten so wichtig?

Die digitale Verknüpfung der Welt durch das Internet macht es für den Einzelnen immer schwerer, die Kontrolle über sein digitales Ich zu behalten. Onlinehändler und Social-Media-Plattformen sammeln Daten ihrer Nutzer. Diese werden dann wiederum mit anderen Sammeldaten verknüpft, um kommerziell genutzt zu werden – zum Beispiel für individualisierte Werbung.

Gleichzeitig gehen viele Internetnutzer leichtfertig mit ihren persönlichen Daten um, was das Risiko des Datenmissbrauchs erhöht. Viele Nutzer werden Opfer von Datenkriminalität, zum Beispiel durch Identitätsdiebstahl, Phishing oder Schadsoftware.

Vor diesem Hintergrund ist es wichtig, die personenbezogenen Daten der Bürger im Netz zu schützen. Die europäische Datenschutzgrundverordnung soll hierzu einen wesentlichen Beitrag leisten.

Was sind eigent­lich „per­so­nen­be­zo­ge­ne Daten“?

Eine Antwort auf diese Frage findet sich im Artikel 4 der DSGVO: Personenbezogene Daten „sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (…) beziehen.“

• Eine Person gilt als iden­ti­fi­ziert, wenn ihr Daten ohne Umwege zuge­ord­net werden können und so ein direkter Bezug möglich ist.
• Als iden­ti­fi­zier­bar gilt eine Person, wenn dieser Bezug nicht direkt, aber mit ein wenig Zusatz­wis­sen her­stell­bar ist.
• Auch das Bun­des­da­ten­schutz­ge­setz (BDSG) liefert eine Defi­ni­ti­on. In § 3 Absatz 1 heißt es dort: „Per­so­nen­be­zo­ge­ne Daten sind Ein­zel­an­ga­ben über per­sön­li­che oder sachliche Ver­hält­nis­se einer bestimm­ba­ren natür­li­chen Person (Betrof­fe­ner).“

Daten sind also nur dann personenbezogen, wenn sie sich auf eine natürliche Person beziehen. „Natürlich“ bedeutet hier: Eine lebende Person, unabhängig von ihrer Herkunft. „Juristische“ Personen wie Stiftungen, Gesellschaften oder Vereine sind also nicht von der DSGVO geschützt.

Um welche Daten handelt es sich genau?

Personenbezogene Daten beziehungsweise Daten, die sich auf eine natürliche Person beziehen, sind zum Beispiel:

• Per­sön­li­che Daten wie Alter, Anschrift, Geburts­da­tum und -ort, Name, aber auch die Tele­fon­num­mer und die E-Mail-Adresse
• Physische Merkmale: Geschlecht, Hautfarbe, Farbe der Augen, Größe
• Kenn­num­mern wie zum Beispiel die Per­so­nal­aus­weis- oder Sozialversicherungsnummer
• Bankdaten: Kon­to­num­mern, Auszüge
• Im Internet: IP-Adresse, Stand­ort­da­ten, Kun­den­da­ten von Online-Bestellungen
  Arbeits­zeug­nis­se, Schulzeugnisse

Bestimmte personenbezogene Daten gelten als besonders schützenswert. Dazu gehören zum Beispiel biometrische und genetische Daten sowie Gesundheitsdaten. Für das Sammeln und Verarbeiten dieser Daten gelten besonders strenge Richtlinien.

Wie müssen Unter­neh­men jetzt mit Daten umgehen?

Wenn Unternehmen oder öffentliche Stellen Daten sammeln, dürfen sie das nur unter bestimmten Voraussetzungen tun – sie müssen laut Artikel 32 der DSGVO den Datenschutz gewährleisten.

• Dazu müssen Mit­ar­bei­ter, die per­so­nen­be­zo­ge­ne Daten verwalten, daten­schutz­recht­lich geschult und über das Daten­ge­heim­nis belehrt werden.
• Das Daten­ge­heim­nis untersagt gemäß § 5 BDSG den Mit­ar­bei­tern die unbefugte Erhebung, Nutzung und Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten.
• Die Mit­ar­bei­ter müssen sich schrift­lich auf das Daten­ge­heim­nis ver­pflich­ten. Verstoßen sie gegen die Vorgaben des Daten­ge­heim­nis­ses, können hohe Bußgelder erhoben werden. In Ein­zel­fäl­len drohen sogar  straf­recht­li­che Konsequenzen.

Die Weitergabe personenbezogener Daten an Dritte ist grundsätzlich ohne Zustimmung der betroffenen Personen nicht zulässig. Wird sie in Ausnahmefällen gestattet, darf die Datenübermittlung nur verschlüsselt und in abgetrennter Form erfolgen. So soll ein illegales Abgreifen der Daten verhindert werden, ebenso wie zu viel Information über eine Person in einer Datensammlung.

Die Verarbeitung von personenbezogenen Daten darf laut Artikel 5b der DSGVO nur zweckgebunden erfolgen, nach der Verarbeitung müssen die Daten entweder gelöscht oder sicher vor dem Zugriff Dritter geschützt werden. Beidem müssen betroffene Personen eindeutig zustimmen.

Generell müssen die Daten gelöscht werden, wenn sie obsolet geworden sind oder die Zweckgebundenheit nicht mehr gegeben ist.

Das Thema Datensicherheit wird ebenfalls großgeschrieben: Die Speicherung von personenbezogenen Daten darf nur unter erhöhten Sicherheitsmaßnahmen stattfinden. Dazu gehören passwortgeschützte Arbeitsplätze ebenso wie Verschlüsselungsprogramme, Antivirenprogramme und eine Firewall. Auch das Anonymisieren personenbezogener Daten ist eine Option. Sie muss so erfolgen, dass der Bezug zu einer bestimmten Person nicht mehr gegeben ist.

Welche Rechte haben betrof­fe­ne Personen?

Im Wesentlichen gibt es drei Rechte, die Bürger in Bezug auf Ihre personenbezogenen Daten besitzen:

• das Recht auf infor­ma­tio­nel­le Selbstbestimmung,
• das Aus­kunfts­recht
• und das Recht auf Berich­ti­gung, Löschung und Sperrung von Daten.

Das Recht auf informationelle Selbstbestimmung ist Teil der allgemeinen Persönlichkeitsrechte, und diese sind durch den Artikel 1 des Grundgesetzes (GG) geschützt. Personenbezogene Daten sind demzufolge das Eigentum natürlicher Personen.

Dahinter verbirgt sich die wohl wichtigste Neuerung nach Inkrafttreten der DSGVO: Jede betroffene Person muss der Speicherung und Verarbeitung ihrer oder seiner Daten aktiv zustimmen. Als Einwilligung genügt nicht nur ein stillschweigendes Anerkennen der Datenschutzerklärung. Diese Regelung sorgt zusätzlich dafür, dass Betroffene für das Thema sensibilisiert werden – und so häufig bewusster und vorsichtiger mit der Weitergabe ihrer personenbezogenen Daten umgehen.

Das Auskunftsrecht erlaubt es betroffenen Personen, ihre bei Unternehmen und Behörden gespeicherten Daten einzusehen. Im Gegenzug sind diese dazu verpflichtet, die Daten dafür zur Verfügung zu stellen. Die Regelung gilt auch für Wirtschaftsauskunfteien.

Die Berichtigung, Löschung und Sperrung von Daten ist ebenfalls wichtiger Bestandteil der DSGVO. Diese Maßnahmen greifen dann, wenn bei personenbezogene Daten ein Verstoß gegen den Datenschutz festgestellt wird, etwa wenn sie widerrechtlich gespeichert oder weitergegeben worden sind. In diesem Fall sind Unternehmen oder Behörden gegenüber den betroffenen Personen verpflichtet, die betreffenden Daten zu sperren, zu korrigieren oder ganz zu löschen.

Bitte lesen Sie zu dem Inhalt auch unsere Rechtshinweise.