Personenbezogene Daten
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen etwa Name, Adresse, E-Mail, IP-Adresse, Kfz-Kennzeichen oder Fotos – die DSGVO schützt diese Daten europaweit.
Ausführliche Erklärung
Personenbezogene Daten bilden den Kern des europäischen Datenschutzrechts. Nach Artikel 4 der Datenschutz-Grundverordnung fallen darunter sämtliche Informationen, die direkt oder indirekt eine natürliche Person identifizieren können. Entscheidend ist der mögliche Personenbezug: Schon wenn Daten durch Kombination mit anderen Informationen einer Person zugeordnet werden können, greift die DSGVO. Das umfasst nicht nur offensichtliche Angaben wie Namen oder Geburtsdatum, sondern auch Online-Kennungen, Standortdaten oder Kundennummern.
Für KMU ist diese weite Definition von großer praktischer Bedeutung. Jede Verarbeitung personenbezogener Daten unterliegt den Vorgaben der DSGVO – unabhängig von der Unternehmensgröße. Das betrifft Kundendatenbanken ebenso wie Mitarbeiterverwaltung, Newsletter-Versand, Website-Analysen oder Cloud-Dienste. Unternehmen müssen für jede Datenverarbeitung eine Rechtsgrundlage nachweisen können, etwa die Einwilligung der betroffenen Person, die Vertragserfüllung oder berechtigte Interessen.
Besonders sensible Daten unterliegen noch strengeren Regeln. Die sogenannten „besonderen Kategorien personenbezogener Daten" nach Artikel 9 DSGVO umfassen Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, Informationen zu ethnischer Herkunft, politischen Meinungen, religiösen Überzeugungen oder sexueller Orientierung. Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, es liegt eine explizite Einwilligung oder ein gesetzlich geregelter Ausnahmetatbestand vor.
Die DSGVO gilt ausschließlich für natürliche Personen. Daten über juristische Personen – also Unternehmen oder Organisationen – fallen nicht unter ihren Anwendungsbereich. Allerdings gibt es in Österreich eine Besonderheit: Das nationale Datenschutzgesetz räumt auch juristischen Personen ein Grundrecht auf Datenschutz ein, sodass hier ein weitergehender Schutz besteht als in den meisten anderen EU-Staaten.
Praxisbeispiel
Eine Steuerberatungskanzlei mit 12 Mitarbeiterinnen in Graz verarbeitet täglich personenbezogene Daten ihrer rund 180 KMU-Mandanten: Namen, Adressen, Sozialversicherungsnummern, Bankverbindungen und Einkommensdaten. Für diese Verarbeitung muss die Kanzlei ein Verarbeitungsverzeichnis führen, Mandanten über Datenverarbeitung informieren, einen Auftragsverarbeitungsvertrag mit dem Cloud-Anbieter abschließen und technisch-organisatorische Schutzmaßnahmen wie Verschlüsselung umsetzen.