Gemäß Artikel 3 (1) der Verordnung (EU) 2018/1725 sind personenbezogene Daten „alle Informationen die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann“.
Der Name und die Sozialversicherungsnummer sind zwei Beispiele für personenbezogene Daten, die sich direkt auf eine Person beziehen. Die Definition ist jedoch weiter gefasst und beinhaltet beispielsweise auch E Mail-Adressen und die Büro-Telefonnummer eines Arbeitnehmers. Andere Beispiele für personenbezogene Daten sind in Angaben zu körperlichen Behinderungen, medizinischen Unterlagen und Arbeitnehmerbeurteilungen zu finden.
Personenbezogene Daten, die im Zusammenhang mit der Arbeit der betroffenen Person verarbeitet werden, bleiben insofern personenbezogen/individuell, als sie weiterhin durch die einschlägigen Datenschutzbestimmungen geschützt sind, die auf den Schutz der Privatsphäre und der Integrität natürlicher Personen ausgerichtet sind. Infolgedessen betreffen Datenschutzbestimmungen nicht die Situation juristischer Personen (außer in Ausnahmefällen, in denen sich Informationen über eine juristische Person auch auf eine natürliche Person beziehen).
Besondere personenbezogene Daten
Die personenbezogener Daten, “aus politischen Gründen, religiösen oder philosophischen Überzeugungen hervorgehen, sowie die Verarbeitung von Daten über Gesundheit oder Sexualleben” (Artikel 10 der Verordnung (EG) Nr. 2018/1725, Artikel 9 der DSGVO).
Die Verarbeitung solcher Informationen ist grundsätzlich untersagt, außer in bestimmten Umständen. So ist es beispielsweise möglich, sensible Daten zu verarbeiten, wenn die Verarbeitung zum Zwecke der medizinischen Diagnostik erforderlich ist, oder mit angemessenen Garantien auf dem Gebiet des Arbeitsrechts oder mit ausdrücklicher Einwilligung der betroffenen Person.