27. Januar 2026
Personenbezogene Daten DSGVO – Kategorien und Schutz
Die Datenschutz-Grundverordnung (DSGVO) definiert als Datenkategorien die verschiedenen Arten von Daten, die anders als die allgemeinen personenbezogenen Daten besonders geschützt werden müssen. Erfahren Sie nachfolgend welche Datenkategorien aus Sicht der DSGVO besonders schützenswert sind.
Was sind personenbezogene Daten?
Personenbezogene Daten sind gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Sie umfassen alle Merkmale, die direkt oder indirekt – etwa durch Verknüpfung von Zusatzwissen – eine Rückführung auf ein Individuum ermöglichen.
Kategorisierung personenbezogener Daten
| Kategorie | Beispiele für Datenpunkte |
| Allgemeine Identifikatoren | Vorname, Nachname, Wohnadresse, Geburtsdatum, Telefonnummer |
| Kennnummern | Steuernummer, Sozialversicherungsnummer, Kundennummer, Personalnummer |
| Digitale Identifikatoren | IP-Adresse, Cookie-ID, Browser-Historie, Geräte-ID, Standortdaten |
| Physische Merkmale | Kfz-Kennzeichen, Videoaufnahmen, Aussehen |
| Sensible Daten (Art. 9) | Gesundheitsdaten, Biometrische Daten, Religiöse Überzeugungen, Politische Meinung |
Identifizierbarkeit und Schutzgrad
-
Direkte Identifizierbarkeit: Bestimmung der Person unmittelbar durch den Namen oder ein eindeutiges Bild.
-
Indirekte Identifizierbarkeit: Bestimmung durch Kombination von Einzeldaten (z. B. Kfz-Kennzeichen in Verbindung mit Positionsdaten).
-
Pseudonymisierte Daten: Gelten weiterhin als personenbezogen, sofern eine Re-Identifizierung mittels Zusatzinformationen möglich ist.
-
Besondere Kategorien: Daten nach Art. 9 DSGVO (z. B. genetische Daten, sexuelle Orientierung) unterliegen einem gesteigerten Schutzniveau und strengeren Verarbeitungsrechten.
-
Abgrenzung: Informationen über juristische Personen (z. B. GmbH, AG) fallen nicht unter den Schutzbereich der personenbezogenen Daten gemäß DSGVO.
Rechtlicher Rahmen der Verarbeitung
Die Verarbeitung ist nur unter Einhaltung der DSGVO-Legitimation zulässig. Primäre Rechtsgrundlagen sind die explizite Einwilligung, die Notwendigkeit zur Vertragserfüllung oder die Erfüllung rechtlicher Verpflichtungen.
Warum müssen personenbezogene Daten besonders geschützt werden?
Anhand von personenbezogenen Daten können Dritte u.a. einzelne Personen identifizieren oder gar Rückschlüsse auf deren Lebensführung ziehen. Viele Unternehmen speichern massenweise personenbezogene Daten – sei es zu Marketing- und Forschungszwecken oder zur Entwicklung von Verkaufsstrategien etc. Bei ihren Kunden steigt zugleich aber die Sorge, mehr und mehr zum gläsernen Menschen zu werden. Auch die Gefahr, dass durch Datenpannen oder Diebstahl (Stichwort „Phishing“) sensible Informationen in die Hände von Kriminellen gelangen könnten wächst immer mehr.
Manche Informationen (etwa zum Sexualleben, zur Gewerkschaftszugehörigkeit oder Weltanschauung) können für einzelne Personen äußerst nachteilig oder gar gefährlich sein. Aus diesem Grund wurden durch die DSGVO entsprechende Regelungen geschaffen, die Unternehmen und Behörden dazu verpflichten sorgsam mit den personenbezogenen Daten umzugehen und dafür zu sorgen, dass diese durch technische und organisatorische Maßnahmen innerhalb des Unternehmens oder der Behörde geschützt sind. Dies gilt des Weiteren auch für deren Dienstleister, die diese einsetzen, um personenbezogene Daten zu verarbeiten.
Alle Daten im Griff? Mit unserer Software wird Datenschutz einfach.
DSM-Online jetzt 14 Tage kostenlos & unverbindlich testen.
Welche Kategorien personenbezogener Daten gibt es?
In den Kategorien werden verschiedene Einzelmerkmale gebündelt, um diese nicht alle einzeln angeben zu müssen. Gerade bei der Zusammenfassung von Einzelangaben in Datenkategorien ist es entscheidend, strukturiert vorzugehen – eine zentrale Datenschutzmanagementlösung wie beispielsweise DSM-Online unterstützt Sie dabei zuverlässig.
- Personendaten: Vor- und Nachname, Geburtsdatum, Sterbedatum, Adresse
- Vertragsdaten: Jeweilige essentialia negotii des Vertrages; z.B. Beginn, Laufzeit, Beendigung, Vergütung, Inhalt
- Adressdaten: Straße, Hausnummer, PLZ, Ort, Land
- Bewerberdaten: Alle Daten die im Wege einer Bewerbung dem Verantwortlichen zugesendet werden, wie z.B. Personendaten, Lebenslauf, Qualifikationen, Hobbys
- Gewährleistungsdaten: Daten, welche besagen, wann und in welchem Umfang eine gesetzliche Gewährleistung fällig wird
- Bankdaten: Name der Bank, BIC und IBAN, Kontoinhaber
- Sozialdaten: Beziehungsstatus, verheiratet, geschieden, verwitwet, Kinder
- Bonitätsdaten: Kapitalbeteiligungen, Kredite, Ausgaben, Einnahmen, Vermögen, Schulden, usw.
- Qualifikationsdaten: Lebensläufe, Zeugnisse, Zertifikatsdaten, Fortbildungsdaten
- Stammdaten: Name, Vorname, Geburtstag, Nationalität, Fahrerlaubnisse, Behinderungen, Steuernummer, Unterhaltsverpflichtungen, Lohnpfändung
- Versicherungsdaten: Sozialversicherungsnummer, Rentenversicherung, private Altersvorsorge, Arbeitslosen- und Pflegeversicherung
- Verhaltensdaten: Abmahnungen, Ermahnungen, Belobigungen, Beurteilungen durch Vorgesetze, Jahresgespräche
- Lieferdaten: Waren und Warenmengen, Lieferorte und – zeitpunkte, Empfänger, Versender
- Abrechnungsdaten: Lohnabrechnungen, Reisekosten- und Spesenabrechnungen, Leistungsabrechnung aus dem Vertrag, Steuerdaten
- Mitarbeiterdaten: Ein- und Austritt im Unternehmen, Name, Funktion, Tätigkeit, interne Kontaktdaten, wie Telefonnummer und E-Mail-Adresse
- Behördendaten: Adresse, Kontaktdaten und Zuständigkeiten des Behördenmitarbeiters, Funktion der Behörde, Bebauungspläne, Verkehrspläne
- Leistungsdaten: Testergebnisse, Bewertungsergebnisse, Beurteilungsergebnisse
- Schadensdaten: Schadenart, Schadentag, Schadenort, Schadenobjekt
- Nutzungsdaten: Merkmale zur Identifikation des Nutzers, Angaben über Beginn und Ende sowie des Umfangs der jeweiligen Nutzung und Angaben über die vom Nutzer in Anspruch genommenen Telemedien; legaldefiniert in § 15 TMG
Warum eine Datenschutzmanagementsoftware so wichtig ist
Je mehr personenbezogene Daten in einem Unternehmen verarbeitet werden, desto komplexer wird es, den Überblick zu behalten. Neben der korrekten Kategorisierung verlangt die DSGVO auch eine umfassende Dokumentation und den Nachweis geeigneter Schutzmaßnahmen.
Hier kommt eine professionelle Datenschutzmanagementsoftware ins Spiel:
Sie hilft Ihnen, alle Datenverarbeitungen strukturiert zu erfassen, Risiken frühzeitig zu erkennen und notwendige Maßnahmen rechtssicher zu dokumentieren – einfach, effizient und ohne Mehraufwand im Tagesgeschäft.
Mit unserer Lösung wird Datenschutz im Unternehmen nicht zur Belastung, sondern zur Stärke.
Was sind besonders schützenwerte personenbezogene Daten?
In der EU-DSGVO sind einige Datenkategorien besonders benannt, da diese einen höheren Schutzbedarf verlangen. Diese Datenkategorien sind in den Artikeln 9 – Verarbeitung besonderer Kategorien personenbezogener Daten explizit aufgelistet:
- „zur rassischen und ethnischen Herkunft“,
- „zu politischen Meinungen“,
- „zu religiösen oder weltanschaulichen Überzeugungen“,
- „zu einer Gewerkschaftszugehörigkeit“,
- „zum Sexualleben oder sexuellen Orientierung“
- „genetische und biometrische Daten“ hervorgehen, die wiederum in Art. 4 Nr. 13 und 14 DSGVO definiert werden, sowie
- Gesundheitsdaten
Die Datenschutz-Grundverordnung untersagt grundsätzlich die Verarbeitung dieser besonders schützenswerten personenbezogenen Daten. Die Verarbeitung dieser Kategorie ist ausschließlich in besonderen Ausnahmefällen gestattet. Jedoch muss jedes Unternehmen diese Daten in der Regel verarbeiten, wenn Mitarbeiter eingestellt sind. Im Beschäftigungsverhältnis werden zumindest Daten über die Religion bzw. Gesundheitsdaten verarbeitet.
Des Weiteren werden in Artikel 10 der EU-DSGVO die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten benannt.
Worauf müssen Datenverantwortliche bei der Verarbeitung personenbezogener Daten achten?
Grundsätzlich ist die Verarbeitung personenbezogener Daten verboten. Man benötigt immer eine Rechtsgrundlage um eine Verarbeitung der Datenkategorien durchführen zu können. Ist keine Rechtsgrundlage vorhanden, dürfen die personenbezogenen Daten auch nicht verarbeitet werden. Zu den Rechtsgrundlagen wie in Artikel 6 der EU-DSGVO beschrieben gehören:
- die Einwilligung des Betroffenen
- ein Vertrag oder eine vorvertragliche Maßnahme
- eine rechtliche Verpflichtung, ein Gesetz welches die Verarbeitung verlangt
- das lebenswichtige Interesse der betroffenen Person oder einer anderen natürlichen Person
- das öffentliche Interesse
- die Wahrung des berechtigten Interesses des Verantwortlichen oder eines Dritten
Neben der Rechtsgrundlage ist es wichtig die Prozesse im so genannten Verzeichnis der Verarbeitungstätigkeiten explizit zu beschreiben, wie es in Artikel 30 der EU-DSGVO angegeben ist. Die Betroffenen müssen über die Verarbeitung welche Datenkategorien verarbeitet werden bereits bei der Erhebung informiert werden und die Betroffenen haben Rechte, die man Ihnen gewähren muss, wenn man ihre personenbezogenen Daten verarbeiteten möchte bzw. muss.
Falls ein besonderes Risiko bei der Verarbeitung der personenbezogenen Daten besteht, muss vor der Verarbeitung ein weiteres Element der EU-DSGVO hinzugezogen werden. Das Unternehmen muss mit Hinzunahme seines Datenschutzbeauftragten eine so genannten Datenschutz-Folgenabschätzung durchführen.
Datenschutz einfach managen
Personenbezogene Daten sicher und DSGVO-konform zu verwalten, muss keine Mammutaufgabe sein. Unsere Datenschutzmanagementsoftware unterstützt Sie dabei, alle Prozesse effizient, nachvollziehbar und sicher zu organisieren – perfekt für Unternehmen jeder Größe.
Ähnliche Artikel im Ratgeber
Datenschutz im DIY – kann selbst machen gut gehen?
Ratgeber Datenschutz im DIY – kann selbst machen gut gehen? Der Begriff DIY ist eine Abkürzung des…
Datenschutzvergehen
Ratgeber Datenschutzvergehen Datendiebstahl, Datenklau, Datenmanipulation. Was Sie tun müssen! DSM-Online kostenlos testen Was ist eine Datenschutzverletzung und…
Auftragsverarbeitungsvertrag-Muster
Ratgeber Auftragsverarbeitungsvertrag-Muster Wenn Sie jemanden mit der Verarbeitung von Daten beauftragen, muss in der Regel ein Auftragsverarbeitungsvertrag…