Daten unterfallen der DSGVO nur, wenn sie einen Personenbezug aufweisen. Wenn das Datum (Singular von Daten) Rückschlüsse auf eine identifizierte oder identifizierbare natürliche Person zulässt, ist der Personenbezug hergestellt. Es genügt, wenn die bloße Möglichkeit einer Identifizierung besteht.
Eine Person kann direkt oder indirekt ermittelt bzw. identifiziert werden. Direkt identifizierbar und damit bestimmbar, ist eine natürliche Person hauptsächlich durch ihren Namen. In vielen Fällen reicht der Name allein zur Identifikation nicht aus; es müssen weitere Identifikationsmerkmale herangezogen werden wie Geburtsdatum, E-Mailadresse oder Postadresse, Sozialversicherungsnummer oder die Steueridentifikationsnummer.
Indirekt identifizierbar ist eine Person, wenn zwar ein personenbeziehbares Datum vorliegt, dieses jedoch nicht direkt einer Person zugeordnet werden kann. Dies auch, wenn die Daten auf Anhieb keinen Schluss auf eine bestimmte Person erlauben. Jedoch ist die Person durch diese Daten bestimmbar, weil die Information mit anderen Informationen eine Unterscheidung bzw. Identifizierbarkeit ermöglicht.
Beispiele
Direkt: Name, Vorname, Geburtsdatum
Indirekt: IP-Adresse –> Inhaber der IP-Adresse –> Name, Vorname gespeichert beim Netzbetreiber
Allerdings besteht auch hier eine Einschränkung. Wenn mit einem vernünftigen bzw. angemessenem Mitteleinsatz (zeitliche, monetäre Mittel, derzeit verfügbare Technologien) kein Personenbezug herstellbar ist, ist eine Person nicht identifizierbar.
Ein Datum ist ebenfalls nicht personenbezogen bzw. personenbeziehbar, wenn dieses wirksam anonymisiert ist.