Personenbezogene Daten sind alle Informationen, die sich auf einen bestimmten oder identifizierbaren Menschen beziehen. Dazu gehören Namen und Kontaktdaten ebenso wie IP-Adressen, Standortdaten oder Angaben in einem Kundenprofil. Auch beim Einsatz von KI, etwa zur Zusammenfassung einer Kunden-E-Mail, können solche Daten verarbeitet werden.
Deshalb sollten Unternehmen wissen, was genau unter den Begriff „personenbezogene Daten“ fällt. Denn obwohl deren Definition im Gesetz festgelegt ist, ist die Einordnung in der Praxis nicht immer einfach. Wir erklären die wichtigsten Abgrenzungen und zeigen, worauf es in Marketing, Vertrieb und Kundenservice ankommt.
Persönliche Daten sind ein Grundwert der Digitalisierung
Inbound Marketing ist auf die Verarbeitung persönlicher Daten ausgelegt.
Wir können sie als Währung der Inbound Methodik bezeichnen.
Durch die Datenschutz-Grundverordnung wird die Arbeit mit diesen Daten beeinflusst: Gesetzliche Vorgaben sollen sicherstellen, dass Unternehmen personenbezogene Daten verantwortungsvoll verarbeiten und die Rechte der betroffenen Menschen wahren.
Dabei geht es nicht nur um digitale Daten. Nach Artikel 2 der DSGVO können auch nicht automatisierte Verarbeitungen erfasst sein, wenn personenbezogene Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Dazu kann beispielsweise eine systematisch geordnete Kundenkartei auf Papier gehören.
[Die] Datenschutzgrundverordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht-automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Sind Sie bereit für die DSGVO? Prüfen Sie es mit unserer Checkliste!
Personenbezogene Daten: Die eindeutige Definition
Gesetzlich definiert wird der Begriff personenbezogene Daten in Artikel 4 der DSGVO.
Personenbezogene Daten sind demnach:
„alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person […] beziehen“.
Doch welche Kriterien machen eine Person zu einer natürlichen sowie zu einer identifizierten oder identifizierbaren Person?
Schauen wir uns den Kern dieser gesetzlichen Bestimmungen (§46, Absatz 1 des Bundesdatenschutzgesetzes) genauer an.
1. Grundvoraussetzung: natürliche Person
Daten gelten nur dann als personenbezogen, wenn sie sich auf eine natürliche Person beziehen. Gemeint ist ein Mensch – unabhängig von Herkunft oder Staatsangehörigkeit.
2. Geltung der DSGVO auch über die EU hinaus
Auch wenn die DSGVO eine europäische Verordnung ist, kann sie Unternehmen außerhalb der EU betreffen. Sie gilt insbesondere für Datenverarbeitungen im Rahmen der Tätigkeit einer Niederlassung in der EU. Unter bestimmten Voraussetzungen gilt sie auch für Unternehmen ohne EU-Niederlassung, etwa wenn sie Menschen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten.
Entscheidend ist also nicht allein, ob Daten von EU-Bürgern verarbeitet werden. Maßgeblich sind die Voraussetzungen aus Artikel 3 DSGVO.
3. Abgrenzung zu juristischen Personen
Juristische Personen wie Gesellschaften, Vereine oder Stiftungen fallen als solche nicht unter den Schutz der DSGVO. Informationen über ein Unternehmen können jedoch zugleich personenbezogen sein.
Das betrifft im B2B-Alltag beispielsweise den Namen einer Ansprechpartnerin, ihre persönliche geschäftliche E-Mail-Adresse oder die direkte Telefonnummer eines Mitarbeiters. Geschäftliche Kontaktdaten sind deshalb nicht automatisch vom Datenschutz ausgenommen.
4. Ausnahme: Daten verstorbener Personen
Die DSGVO gilt nach Erwägungsgrund 27 nicht für personenbezogene Daten Verstorbener. Daraus folgt allerdings nicht, dass solche Informationen uneingeschränkt verwendet werden dürfen. Andere rechtliche Vorgaben können weiterhin eine Rolle spielen, etwa eine fortbestehende ärztliche Schweigepflicht.
5. Identifizierte oder identifizierbare Personen
In diesem Zusammenhang sollten sich Unternehmen immer die Frage stellen, ob eine Information einer bestimmten Person zuzuordnen ist oder ob dies mit Zusatzinformationen möglich wäre.
Eine Person gilt als identifiziert, wenn die Zuordnung direkt möglich ist. Ist dies erst mit Zusatzwissen möglich, kann es sich um eine identifizierbare Person handeln. Dieses Zusatzwissen müssen Sie nicht zwangsläufig selbst besitzen. Auch die Möglichkeiten anderer Personen können relevant sein.
Allerdings zählt nicht jede theoretisch denkbare Identifizierungsmöglichkeit. Zu berücksichtigen sind die Mittel, die vernünftigerweise eingesetzt werden könnten – einschließlich Zeitaufwand, Kosten und verfügbarer Technik.
Personenbezogene Daten: Was zählt alles dazu?
Grundsätzlich können alle Informationen personenbezogen sein, die sich auf einen identifizierten oder identifizierbaren Menschen beziehen. Artikel 4 der DSGVO spricht von einer Zuordnung einer Person und nennt dazu beispielsweise Namen, Kennnummern, Standortdaten und Online-Kennungen.
Klassisch gehören dazu:
- Name und Adresse
- Telefonnummern und persönliche E-Mail-Adressen
- Autokennzeichen, soweit ein Personenbezug hergestellt werden kann
- Kreditkartennummern, Kontodaten und andere persönliche Finanzdaten
- IP-Adressen und andere Online-Kennungen, soweit sie eine Person identifizierbar machen
- Standortdaten
- Personaldaten einschließlich Personalnummer
- Gesundheitsdaten
- biometrische Daten, etwa aus einer technischen Gesichtserkennung
Auch Fotos oder Videoaufnahmen können personenbezogen sein, wenn Menschen darauf erkennbar sind. Sie sind jedoch nicht automatisch biometrische Daten. Dafür ist eine spezielle technische Verarbeitung erforderlich, die eine eindeutige Identifizierung ermöglicht oder bestätigt.
Darüber hinaus können Staatsangehörigkeit, Religionszugehörigkeit oder eine Vereinsmitgliedschaft personenbezogene Informationen sein. Im CRM gehören auch zuordenbare Gesprächsnotizen, Kaufhistorien und Bewertungen von Ansprechpartnern dazu.
Welche personenbezogenen Daten sind besonders geschützt?
Die DSGVO unterscheidet in Artikel 9 besondere Kategorien personenbezogener Daten. Dazu gehören unter anderem Gesundheitsdaten, genetische Daten, religiöse oder weltanschauliche Überzeugungen, politische Meinungen, die Gewerkschaftszugehörigkeit und Angaben zur sexuellen Orientierung. Auch biometrische Daten zur eindeutigen Identifizierung fallen darunter.
Für ihre Verarbeitung gelten zusätzliche Voraussetzungen. Nicht jede vertrauliche Information gehört aber automatisch zu diesen besonderen Kategorien: Kontodaten sind beispielsweise schutzbedürftig, fallen allein deshalb jedoch nicht unter Artikel 9 DSGVO.
Anonymisierte und pseudonymisierte Daten unterscheiden
Bei anonymisierten Daten ist die betroffene Person nicht oder nicht mehr identifizierbar. Dabei müssen auch die vernünftigerweise verfügbaren Möglichkeiten zur Wiedererkennung berücksichtigt werden. Tatsächlich anonyme Daten fallen nicht unter die DSGVO.
Ein Beispiel kann eine zusammengefasste Auswertung von Kundenanfragen sein, aus der sich keine einzelnen Personen mehr erkennen oder herauslösen lassen. Bei sehr kleinen Gruppen oder ungewöhnlichen Einzelfällen ist diese Voraussetzung möglicherweise nicht erfüllt.
Bei pseudonymisierten Daten werden identifizierende Angaben dagegen beispielsweise durch eine Kennung ersetzt. Kann Ihr Unternehmen mithilfe einer getrennt gespeicherten Zuordnungsliste weiterhin feststellen, welche Person hinter der Kennung steht, bleiben die Daten für Ihr Unternehmen personenbezogen.
Bei der Weitergabe an Dritte kommt es zusätzlich auf deren konkrete Identifizierungsmöglichkeiten an. Der EuGH hat 2025 klargestellt, dass pseudonymisierte Daten nicht zwangsläufig für jeden Empfänger personenbezogen sind. Eine Pseudonymisierung ist deshalb aber keine pauschale Freigabe zur Weitergabe.
Zum Weiterlesen:
-
Externe Inhalte DSGVO-konform anbieten? Nutzen Sie die Shariff Lösung!
-
Einwilligung bei der DSGVO - Das Opt-In und Double-Opt-In Verfahren
- DSGVO umsetzen: Diese HubSpot-Features helfen dabei!
Personenbezogene Daten und KI: Was Unternehmen beachten sollten
Die fortschreitende Entwicklung von Datenanalyse- und KI-Technologien erhöht die Möglichkeiten, Informationen miteinander zu verknüpfen und Personen zu identifizieren. Die gesetzliche Definition ändert sich dadurch nicht automatisch. Ihre Anwendung muss aber die technischen Möglichkeiten berücksichtigen.
Im Unternehmensalltag stellt sich die Frage besonders dann, wenn Beschäftigte Kunden-E-Mails zusammenfassen, Gesprächsprotokolle auswerten oder Antworten auf Supportanfragen mit KI vorbereiten. Dabei können personenbezogene Daten sowohl in den Eingaben als auch in den Ergebnissen enthalten sein.
Namen entfernen reicht häufig nicht
Angenommen, ein Vertriebsmitarbeiter entfernt vor dem Hochladen eines Gesprächsprotokolls den Namen des Kundenkontakts. Im Text bleiben jedoch Position, Unternehmen, Standort und Details zu einem konkreten Projekt stehen. Zusammen können diese Angaben die Person weiterhin erkennbar machen. Der Text ist damit nicht automatisch anonymisiert.
Vor der Nutzung Daten und Anwendung prüfen
Bevor Unternehmen personenbezogene Daten mit einer KI-Anwendung verarbeiten, sollten sie insbesondere klären:
- Zweck und Rechtsgrundlage: Wofür werden die Daten benötigt, und auf welcher Grundlage ist die Verarbeitung zulässig?
- Datenumfang: Welche Angaben sind für die Aufgabe tatsächlich erforderlich? Genügen anonyme oder frei erfundene Beispieldaten?
- Anbieter und Verarbeitung: Wer erhält Zugriff, wie lange werden Daten gespeichert und werden sie für das Training verwendet? Auch Anbieterrolle, gegebenenfalls Auftragsverarbeitungsvertrag und mögliche Drittstaatenübermittlungen sind zu prüfen.
- Interne Regeln: Welche Anwendungen und Daten dürfen Beschäftigte für welche Aufgaben nutzen?
Eine Einstellung, die die Nutzung von Eingaben für das Training ausschließt, beantwortet nur einen Teil dieser Fragen. Auch die übrige Verarbeitung muss zulässig und angemessen abgesichert sein.
KI-Ergebnisse über Personen kontrollieren
KI kann unzutreffende Angaben über Menschen erzeugen. Deshalb sollten Beschäftigte personenbezogene Ergebnisse prüfen, bevor sie diese in ein CRM übernehmen oder für weitere Maßnahmen verwenden. Betroffenenrechte, etwa auf Berichtigung oder Löschung, müssen auch beim KI-Einsatz berücksichtigt werden.
Die Datenschutzkonferenz empfiehlt, Datenschutzbeauftragte frühzeitig in die Auswahl und Einführung solcher Anwendungen einzubeziehen.
Personenbezogene Daten in der praktischen Anwendung
Inbound Marketing, Inbound Sales und digitaler Service arbeiten mit persönlichen Daten. Sie helfen Unternehmen, Anfragen einzuordnen, Kundenbeziehungen zu pflegen und passende Informationen bereitzustellen.
Wie sollten Unternehmen damit umgehen?
Ein zentraler Punkt ist die Transparenz gegenüber Interessenten, Kunden und allen anderen Kontakten, deren Daten Sie erfassen. Diese müssen nachvollziehen können, welche Daten für welche Zwecke verarbeitet werden.
Darüber hinaus sind insbesondere folgende Punkte wichtig:
- Rechtsgrundlage bestimmen: Je nach Verarbeitung kommen beispielsweise Einwilligung, Vertragserfüllung, gesetzliche Pflichten oder berechtigte Interessen infrage. Eine Einwilligung ist nicht immer erforderlich.
- Zwecke und Datenumfang begrenzen: Erfassen Sie nur die benötigten Daten und legen Sie fest, wie lange diese aufbewahrt werden müssen oder dürfen.
- Daten schützen: Regeln Sie Zugriffe und treffen Sie geeignete technische und organisatorische Maßnahmen.
- Betroffenenrechte ermöglichen: Unternehmen brauchen Verfahren, um beispielsweise Auskunft, Berichtigung oder Löschung nach den gesetzlichen Vorgaben zu bearbeiten.
- Datenschutzverletzungen bewerten: Eine Meldung an die Aufsichtsbehörde ist grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erforderlich, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Menschen führt.
Für Direktwerbung kann ein berechtigtes Interesse in Betracht kommen. Dafür sind jedoch die Erforderlichkeit und eine Interessenabwägung zu prüfen. Zusätzlich gelten die Vorgaben für den jeweiligen Werbekanal, insbesondere § 7 UWG. Ein passendes Kundenprofil oder eine Buyer Persona ersetzt diese Prüfung nicht.
Bei Cookies und vergleichbaren Zugriffen auf Endgeräte sind außerdem die Anforderungen des § 25 TDDDG zu beachten. Hier ist grundsätzlich eine Einwilligung nötig, soweit keine gesetzliche Ausnahme greift, etwa für einen unbedingt erforderlichen Zugriff zur Bereitstellung eines ausdrücklich gewünschten Dienstes.
Ein CRM-System kann dabei helfen, Einwilligungen, Zugriffsrechte und Löschprozesse zu organisieren. Entscheidend bleibt, wie das Unternehmen das System konfiguriert und im Alltag nutzt.
Erfahren Sie auf dieser Informationsseite, wie Sie Datenstrategie, Datenschutz und KI in Ihrem Unternehmen zusammenbringen – mit klaren Verantwortlichkeiten, vernetzten Systemen und konkreten Einsatzmöglichkeiten für Marketing, Vertrieb und Kundenservice.
Fazit: Personenbezug erkennen und Daten bewusst einsetzen
Personenbezogene Daten gehen weit über Namen und Adressen hinaus. Entscheidend ist, ob Informationen einen Menschen direkt oder über zusätzliche Angaben erkennbar machen. Das gilt für klassische Kundendaten ebenso wie für Gesprächsnotizen, CRM-Profile und Inhalte, die mit KI bearbeitet werden.
Für Unternehmen beginnt ein verantwortungsvoller Umgang deshalb mit drei Fragen: Welche personenbezogenen Daten verarbeiten wir? Wofür benötigen wir sie? Und unter welchen Voraussetzungen dürfen wir sie nutzen?
Wer diese Fragen in seinen Prozessen berücksichtigt, schafft eine belastbare Grundlage für Marketing, Vertrieb und Kundenservice – und kann auch neue KI-Anwendungen gezielter auswählen und einsetzen.
CRM und KI im Unternehmensalltag sinnvoll einsetzen
Sie möchten Kundendaten in Marketing, Vertrieb und Service strukturiert nutzen oder KI in bestehende Abläufe integrieren? LANGEundPFLANZ digital unterstützt B2B-Unternehmen bei der Gestaltung ihrer Prozesse und der Umsetzung mit HubSpot. Dabei berücksichtigen wir Zuständigkeiten, Datenflüsse und die Anforderungen an den praktischen Einsatz der Systeme.
Lassen Sie uns gemeinsam klären, wo Ihr Unternehmen steht und welche nächsten Schritte sinnvoll sind.
Häufige Fragen zu personenbezogenen Daten
Sind geschäftliche E-Mail-Adressen personenbezogene Daten?
Ja, wenn sie sich auf einen bestimmten oder identifizierbaren Menschen beziehen. Das gilt beispielsweise für eine Adresse nach dem Muster "vorname nachname at unternehmen.de". Bei allgemeinen Funktionsadressen wie "info at unternehmen.de" kommt es darauf an, ob sich daraus oder aus dem Zusammenhang ein Personenbezug ergibt.
Sind öffentlich zugängliche Daten weiterhin geschützt?
Ja. Ein Name, eine berufliche Funktion oder eine Telefonnummer verlieren ihren Personenbezug nicht dadurch, dass sie auf einer Website oder in einem sozialen Netzwerk stehen. Auch für die weitere Verarbeitung öffentlich zugänglicher personenbezogener Daten braucht es eine Rechtsgrundlage.
Sind pseudonymisierte Daten anonym?
Nein. Bei einer Pseudonymisierung bleibt eine Zuordnung mithilfe zusätzlicher Informationen möglich. Für ein Unternehmen, das über eine solche Zuordnungsmöglichkeit verfügt, bleiben die Daten personenbezogen. Anonymisierung setzt dagegen voraus, dass eine Person unter Berücksichtigung der vernünftigerweise einsetzbaren Mittel nicht mehr identifizierbar ist.
Welche personenbezogenen Daten sind besonders geschützt?
Zu den besonderen Kategorien nach Artikel 9 DSGVO gehören unter anderem Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen und biometrische Daten zur eindeutigen Identifizierung. Für ihre Verarbeitung muss neben einer Rechtsgrundlage auch eine passende Ausnahme vom grundsätzlichen Verarbeitungsverbot vorliegen.
Brauchen Unternehmen immer eine Einwilligung?
Nein. Eine Verarbeitung kann beispielsweise auch zur Erfüllung eines Vertrags oder einer gesetzlichen Pflicht erforderlich sein. Unter bestimmten Voraussetzungen kommen berechtigte Interessen infrage. Welche Grundlage passt, hängt vom konkreten Zweck und den Umständen ab.
Dürfen personenbezogene Daten in KI-Anwendungen eingegeben werden?
Das ist nicht pauschal verboten, aber an Voraussetzungen gebunden. Unternehmen müssen unter anderem Rechtsgrundlage, Datenumfang, Anbieterbedingungen und Schutzmaßnahmen prüfen. Beschäftigte sollten dafür nur die im Unternehmen freigegebenen Anwendungen und Einsatzfälle nutzen. Das bloße Entfernen eines Namens stellt noch keine Anonymisierung sicher.
Ein Podcast zum Thema:
Wir veröffentlichen übrigens regelmäßig Podcasts zu Fragestellungen rund um die digitale Transformation von Marketing, Vertrieb und Kundenservice. Bei Interesse einfach hineinhören oder anmelden:
Rechtlicher Hinweis:
Die in diesem Artikel enthaltenen rechtlichen Informationen sind nicht zu verwechseln mit einer rechtlichen Beratung, bei der ein Rechtsanwalt das geltende Recht auf Ihre spezifischen Umstände anwendet.
Wir weisen deshalb darauf hin, dass Sie bei Beratungsbedarf über Ihre Auslegung dieser Informationen oder über deren Richtigkeit und Vollständigkeit einen Rechtsanwalt hinzuziehen sollten.
Sie dürfen sich demnach auf dieses Dokument weder als Rechtsberatung stützen noch als Empfehlung für eine bestimmte Auslegung geltenden Rechts.
Foto: © IBEX.Media/AdobeStock.com
Dieser Artikel wurde erstmals 2018 veröffentlicht und seitdem mehrfach aktualisiert. Dennoch können rechtliche und technische Entwicklungen einzelne Inhalte überholen, bevor wir sie anpassen können. Ist Ihnen eine solche Stelle aufgefallen? Wir freuen uns über Ihren Hinweis – als Kommentar oder über eine direkte Nachricht an uns. Vielen Dank.