Identifizierbarkeit natürlicher Personen: Wann Daten personenbezogen bleiben

Ob Informationen dem Datenschutzrecht unterliegen, entscheidet sich maßgeblich daran, ob sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Abgrenzung ist für Unternehmen und öffentliche Stellen von zentraler Bedeutung, weil sich daraus ergibt, ob die Vorgaben der Datenschutz-Grundverordnung anzuwenden sind. Ein im April 2026 veröffentlichtes Arbeitspapier des Bayerischen Landesbeauftragten für den Datenschutz greift die Identifizierbarkeit natürlicher Personen auf und ordnet aktuelle unionsrechtliche Entwicklungen für die Praxis ein. 

Personenbezug als Ausgangspunkt der datenschutzrechtlichen Prüfung 

Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten sämtliche Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine unmittelbare Namensnennung ist dafür nicht erforderlich. Es genügt, dass eine Person mithilfe weiterer Angaben oder durch die Zusammenführung verschiedener Informationsbestände bestimmt werden kann. In der täglichen Datenverarbeitung liegt die Schwierigkeit deshalb häufig nicht in der Information selbst, sondern in der Frage, welches Zusatzwissen vorhanden ist und unter welchen Bedingungen es eingesetzt werden kann. 

Für die rechtliche Einordnung werden traditionell zwei Betrachtungsweisen unterschieden. Ein relatives Verständnis stellt vorrangig auf die Kenntnisse und tatsächlichen Möglichkeiten der jeweils verarbeitenden Stelle ab. Demgegenüber nimmt ein absolutes Verständnis einen Personenbezug bereits dann an, wenn irgendeine Stelle die betroffene Person bestimmen könnte. Die praktische Prüfung bewegt sich zwischen diesen Polen und verlangt eine realistische Betrachtung des konkreten Verarbeitungskontextes. 

Welche Mittel zur Identifizierung berücksichtigt werden müssen 

Erwägungsgrund 26 DSGVO macht deutlich, dass nicht ausschließlich die eigenen Mittel des Verantwortlichen maßgeblich sind. Auch Möglichkeiten anderer Personen oder Stellen können zu berücksichtigen sein. Daraus folgt jedoch nicht, dass jede nur theoretisch vorstellbare Verknüpfung ausreicht. Entscheidend ist vielmehr, ob nach allgemeinem Ermessen damit zu rechnen ist, dass verfügbare Mittel tatsächlich zur Identifizierung eingesetzt werden. 

Bei dieser Wahrscheinlichkeitsprüfung spielen der erforderliche Zeitaufwand, die Kosten, die verfügbare Arbeitskraft, rechtliche Grenzen und der Stand der Technik eine wichtige Rolle. Eine Identifizierung kann deshalb ausscheiden, wenn sie gesetzlich untersagt oder praktisch nicht durchführbar ist. Zugleich ist die Bewertung nicht statisch. Neue Analyseverfahren, leistungsfähigere IT-Systeme oder zusätzliche Datenquellen können dazu führen, dass Informationen später leichter zugeordnet werden können als zum Zeitpunkt ihrer Erhebung. 

Pseudonymisierung und Anonymisierung richtig abgrenzen 

Besondere Bedeutung hat die Identifizierbarkeit bei pseudonymisierten und anonymisierten Daten. Bei einer Pseudonymisierung wird die direkte Zuordnung erschwert, weil zusätzliche Informationen getrennt aufbewahrt oder besonders geschützt werden. Der Personenbezug entfällt dadurch regelmäßig nicht automatisch. Wer über den Zuordnungsschlüssel oder vergleichbares Zusatzwissen verfügt, kann die betroffene Person weiterhin bestimmen. 

Anonyme Informationen fallen demgegenüber nicht unter die DSGVO, wenn eine Identifizierung unter den maßgeblichen Umständen nicht mehr wahrscheinlich ist. Zwischen beiden Kategorien besteht in der Praxis keine rein formale Grenze. Dieselbe Datenmenge kann für die herausgebende Stelle personenbezogen bleiben, während ein Empfänger ohne Zugriff auf die zusätzlich benötigten Informationen keinen realistischen Personenbezug herstellen kann. Maßgeblich sind daher stets die tatsächlichen Zugriffsmöglichkeiten und die konkrete Verarbeitungssituation. 

Die Bedeutung der EuGH-Rechtsprechung 

Ausgangspunkt des bayerischen Arbeitspapiers ist eine Entscheidung des Europäischen Gerichtshofs vom 4. September 2025. Der Gerichtshof befasste sich mit der Frage, unter welchen Voraussetzungen pseudonymisierte Daten beim Empfänger noch als personenbezogene Daten einzustufen sind. Er stellte klar, dass pseudonymisierte Informationen für den Empfänger nicht zwingend personenbezogen sein müssen, wenn dieser die Person selbst nicht bestimmen kann und eine Identifizierung nach allgemeinem Ermessen nicht wahrscheinlich ist. 

Das Vorhandensein zusätzlicher Identifizierungsinformationen bei einer anderen Stelle genügt somit nicht in jeder Konstellation, um den Personenbezug für sämtliche Beteiligten und Verarbeitungsvorgänge gleichermaßen zu bejahen. Kann der Empfänger diese Informationen rechtlich nicht erlangen oder wäre eine Re-Identifizierung wegen des unverhältnismäßigen Aufwands an Zeit, Kosten oder Arbeitskraft praktisch ausgeschlossen, kann das Identifizierungsrisiko für ihn faktisch unbedeutend sein. 

Kontextbezogene Einzelfallprüfung 

Das Arbeitspapier des Bayerischen Landesbeauftragten für den Datenschutz unterstreicht, dass die Beurteilung des Personenbezugs regelmäßig eine sorgfältige Einzelfallprüfung verlangt. Zu klären ist insbesondere, welche Stelle die Daten verarbeitet, welches Zusatzwissen ihr unmittelbar oder mittelbar zur Verfügung steht, ob sie auf weitere Quellen zugreifen kann und welche technischen sowie rechtlichen Möglichkeiten einer Zuordnung bestehen. 

Eine belastbare Bewertung sollte außerdem den Verarbeitungszweck und die organisatorischen Rahmenbedingungen einbeziehen. Werden Daten an Dritte übermittelt, ist die Situation des jeweiligen Empfängers gesondert zu untersuchen. Es reicht nicht, ausschließlich die Sicht des Dateninhabers zugrunde zu legen. Umgekehrt darf aus fehlendem unmittelbarem Zugriff auf den Zuordnungsschlüssel nicht vorschnell gefolgert werden, dass die Daten anonym sind. Entscheidend bleibt, ob eine Identifizierung mit vernünftigerweise zu erwartenden Mitteln möglich ist. 

Folgen für die betriebliche Datenschutzpraxis 

Für Unternehmen bedeutet dies, dass Pseudonymisierung und Anonymisierung nicht allein als technische Maßnahmen betrachtet werden dürfen. Beide Verfahren sind in ein rechtlich und organisatorisch nachvollziehbares Schutzkonzept einzubetten. Pseudonymisierte Daten bleiben typischerweise dem Anwendungsbereich der DSGVO unterworfen, sofern eine Zuordnung weiterhin realistisch möglich ist. Auch der Vorgang der Pseudonymisierung oder Anonymisierung selbst stellt eine Verarbeitung dar und benötigt daher eine datenschutzrechtliche Grundlage sowie geeignete Schutzmaßnahmen. 

Besondere Aufmerksamkeit ist bei Datenweitergaben erforderlich. Vor einer Übermittlung sollte dokumentiert werden, ob der Empfänger über Identifizierungsmittel verfügt, ob Zugriffe organisatorisch oder vertraglich ausgeschlossen sind und ob technische Schutzmaßnahmen die Zuordnung wirksam verhindern. Da sich technische Möglichkeiten fortentwickeln, sollte die Bewertung in angemessenen Abständen erneut überprüft werden. Was heute mit vertretbaren Mitteln nicht identifizierbar erscheint, kann durch neue Datenquellen oder Analysewerkzeuge zukünftig anders zu beurteilen sein.

Fazit 

Die Identifizierbarkeit natürlicher Personen lässt sich nicht abstrakt und losgelöst vom jeweiligen Kontext beurteilen. Die aktuelle unionsrechtliche Linie und das Arbeitspapier des Bayerischen Landesbeauftragten für den Datenschutz sprechen für eine differenzierte, empfängerbezogene Betrachtung. Maßgeblich ist, ob eine Identifizierung unter Berücksichtigung aller vernünftigerweise zu erwartenden Mittel tatsächlich wahrscheinlich ist. Für die Praxis bleibt ein vorsichtiger Ansatz angezeigt: Bestehen nachvollziehbare Zweifel, sollte von einem Personenbezug ausgegangen und die Verarbeitung entsprechend den Anforderungen der DSGVO ausgestaltet werden. 

Quelle 

https://www.datenschutzticker.de/2026/07/lfd-bayern-zur-identifizierbarkeit-natuerlicher-personen/ (zuletzt abgerufen am 08.09.2026)