Was sind personenbezogene Daten?
Die DSGVO definiert den Begriff in Art. 4 Nr. 1 in einem Satz: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Natürliche Person heißt Mensch, nicht Firma.
Der Knackpunkt ist „identifizierbar“. Es reicht, dass sich jemand mit Zusatzwissen erkennen lässt, direkt oder indirekt. Ein Name allein ist personenbezogen. Eine Kundennummer auch, weil irgendwo eine Liste liegt, die sie einem Namen zuordnet.
Die Faustregel: Personenbezogen ist alles, womit man einen Menschen erkennen kann — allein oder zusammen mit anderen Infos. Ob du die Person tatsächlich erkennst, ist egal.
Was gehört im Marketing dazu?
Datum
Personenbezogen?
vorname.nachname@firma.de
Ja
info@firma.de
In der Regel nein
IP-Adresse
Ja
Cookie-ID, Werbe-ID
Ja
Gehashte E-Mail
Ja
Wirklich anonyme Statistik
Nein
Die EU-Kommission nennt genau diese Beispiele: Eine E-Mail mit Vor- und Nachname ist personenbezogen, eine allgemeine Firmenadresse nicht. IP-Adressen und Cookie-Kennungen zählt die DSGVO in Erwägungsgrund 30 ausdrücklich zu den Online-Kennungen, aus denen sich Profile bilden lassen.
Der Europäische Gerichtshof hat das mehrfach bestätigt. 2016 (Urteil Breyer) entschied er, dass eine dynamische IP-Adresse für den Website-Betreiber personenbezogen sein kann. 2024 urteilte er, dass sogar der Einwilligungs-Code aus dem Cookie-Banner (TC-String) dazugehört.
Pseudonym ist nicht anonym
Pseudonymisiert heißt: Die Daten lassen sich nur mit einem getrennt aufbewahrten Schlüssel einer Person zuordnen. Sie bleiben personenbezogen. Der Europäische Datenschutzausschuss (EDSA) betont das in seinen Leitlinien von 2025 ausdrücklich.
Anonym heißt: Niemand kann den Personenbezug mehr herstellen, mit vertretbarem Aufwand. Dann gilt die DSGVO nicht. Echte Anonymisierung ist schwerer, als sie klingt.
2025 hat der EuGH die Sache etwas gelockert (Urteil EDSB/SRB). Pseudonymisierte Daten sind danach nicht für jeden Empfänger automatisch personenbezogen. Wer den Schlüssel nicht hat und realistisch nicht an ihn kommt, kann außen vor sein. Für dich als Absender ändert das nichts: Für dich bleiben die Daten personenbezogen, und deine Pflichten gelten ab der Erhebung.
Beispiele aus der Praxis
Zwei Alltagsfälle aus dem Marketing, an denen sich zeigt, wie weit der Begriff reicht:
- Kundenliste für Custom Audiences: Ein Shop lädt E-Mail-Adressen gehasht zu Meta hoch. Das Verwaltungsgericht Bayreuth entschied 2018: Das Hash-Verfahren SHA-256 anonymisiert nicht, der Upload ist eine Übermittlung personenbezogener Daten. Nötig war eine Einwilligung.
- Webanalyse: Eine Website speichert IP-Adressen in Logfiles und setzt Analytics-Cookies. Beides sind Online-Kennungen. Du brauchst eine Rechtsgrundlage, für die Cookies meist eine Einwilligung.
Die Bayreuther Entscheidung fiel noch vor der DSGVO und im Eilverfahren. Die Linie gilt aber als Richtschnur, und der EDSA sieht Hashing bis heute höchstens als Pseudonymisierung.
Häufige Fehler
Fehler 1 · „Gehasht ist anonym“
Ist es nicht. Wer dieselbe E-Mail-Liste hat, kann denselben Hash bilden und abgleichen. Genau so funktioniert Customer Match. Hashing ist ein Schutz, kein Ausweg aus der DSGVO.
Fehler 2 · „B2B-Adressen sind keine Personendaten“
Nur Daten der Firma selbst sind ausgenommen: Name, Rechtsform, allgemeine Kontaktdaten (Erwägungsgrund 14). Die Adresse von Max Muster bei der Firma betrifft einen Menschen und ist personenbezogen.
Fehler 3 · „Ohne Namen kein Personenbezug“
Eine IP-Adresse oder Cookie-ID nennt keinen Namen. Trotzdem lässt sich die Person mit Zusatzwissen bestimmen. Und genau das reicht.
Fehler 4 · Das SRB-Urteil als Freibrief lesen
Das Urteil von 2025 betrifft Empfänger ohne Schlüssel. Wer selbst die Rohdaten hat, bleibt voll in der Pflicht. Außerdem ging es um eine Verordnung für EU-Behörden; dass es für die DSGVO genauso gilt, ist verbreitete Einschätzung, aber nicht entschieden.
Was heißt das für dich?
- Lieber zu breit denken: Behandle im Zweifel jedes Datum über Nutzer als personenbezogen.
- Datensparsam bauen: Nur erheben, was du wirklich nutzt. IP-Adressen kürzen, wo es geht.
- Pseudonymisieren: Senkt das Risiko und hilft bei der Abwägung, auch wenn die DSGVO weiter gilt.
- Dokumentieren: Welche Daten wo liegen, gehört ins Verzeichnis von Verarbeitungstätigkeiten.
Verstöße gegen die Grundsätze und die Regeln zur Einwilligung kosten bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.
Häufige Fragen
Ist eine IP-Adresse ein personenbezogenes Datum?
In aller Regel ja. Die DSGVO nennt IP-Adressen in Erwägungsgrund 30 als Online-Kennung. Der EuGH hat 2016 entschieden, dass eine dynamische IP für den Website-Betreiber personenbezogen ist, wenn er die Person über den Provider rechtlich bestimmen lassen kann.
Sind gehashte E-Mail-Adressen anonym?
Nein. Hashing ist höchstens Pseudonymisierung. Wer die Originalliste hat, kann den Hash nachbilden. Deshalb brauchst du für Custom Audiences oder Customer Match weiterhin eine Rechtsgrundlage.
Gilt die DSGVO auch für Firmendaten?
Für Daten der Firma selbst nicht, also Name, Rechtsform und allgemeine Kontaktdaten. Sobald ein Mensch dahintersteckt — Ansprechpartner, Geschäftsführerin, Einzelunternehmer —, sind seine Daten personenbezogen.
Was ist der Unterschied zwischen pseudonym und anonym?
Pseudonyme Daten lassen sich mit einem getrennt aufbewahrten Schlüssel wieder einer Person zuordnen. Sie fallen unter die DSGVO. Anonyme Daten lassen sich gar nicht mehr zuordnen. Für sie gilt die DSGVO nicht.
Was hat der EuGH 2025 zu pseudonymisierten Daten entschieden?
Im Fall EDSB gegen SRB: Pseudonymisierte Daten sind nicht für jeden Empfänger automatisch personenbezogen. Es kommt darauf an, ob er die Person realistisch identifizieren kann. Für den, der die Daten pseudonymisiert hat, bleiben sie personenbezogen.
Quellen
- DSGVO (EUR-Lex)
- EuGH: Pressemitteilung zum Urteil Breyer (C-582/14)
- EuGH: Pressemitteilung zum Urteil IAB Europe (C-604/22)
- EuGH: Pressemitteilung zum Urteil EDSB/SRB (C-413/23 P)
- EDSA: Leitlinien zur Pseudonymisierung
- BayLDA: Pressemitteilung zu Facebook Custom Audiences
- EU-Kommission: Datenschutz erklärt
