Personenbezogene Daten: Definition, Beispiele & HR

Personenbezogene Daten sind der Ausgangspunkt fast jeder HR-Diskussion über Datenschutz: Sobald du Namen, Zeiten oder Bewerbungsunterlagen verarbeitest, berührst du Art. 4 Nr. 1 DSGVO – nicht erst, wenn ein großes „DSGVO-Projekt“ startet.

Du erhältst eine klare Definition (Art. 4 Nr. 1 DSGVO), typische Beispiele im Personalwesen, die Abgrenzung zu anonymen und pseudonymen Daten sowie einen kompakten Überblick über besondere Kategorien. Pflichten, Rechtsgrundlagen und Betroffenenrechte stehen im Artikel DSGVO im Betrieb – dieser Text erklärt den Begriff und seine Bedeutung für Zeiterfassung, Planung und Personalakte.

Der Text richtet sich an Arbeitgeber, HR und Führungskräfte in KMU und Schichtbetrieben. Er ersetzt keine Rechtsberatung; bei Grenzfällen (Videoüberwachung, Gesundheitsdaten, KI-Screening) lohnt die Abstimmung mit Datenschutz oder Fachanwalt. Stand der Darstellung: 2026.

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist, wer direkt oder indirekt – etwa über eine Kennnummer oder Standortdaten – bestimmt werden kann (vgl. Art. 4 Nr. 1 DSGVO).

Kurzdefinition: Personenbezogene Daten sind Angaben, mit denen du eine konkrete Person erkennst oder erkennen kannst – vom Namen über die Personalnummer bis zu Stempelzeiten, wenn sie einer Person zugeordnet sind.

BDSG und DSGVO – ein Begriff im HR

Das Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO im nationalen Recht, ändert aber den Kernbegriff nicht: Personenbezogene Daten verstehst du in Deutschland im Wesentlichen wie in Art. 4 Nr. 1 DSGVO. Für Beschäftigten- und Bewerberdaten gelten dieselben Beispiele – Hinweise, Löschfristen und AV-Verträge ordnest du im DSGVO-Lexikon ein.

Im Unternehmen geht es selten um abstrakte „Datensätze“, sondern um Vorgänge: Einstellung, Schichtplanung, Krankmeldung, Lohnlauf. Überall, wo Daten einer Beschäftigten, eines Bewerbers oder einer ehemaligen Mitarbeitenden zugeordnet werden, liegt Personenbezug vor. Juristische Personen (Firmenname, Handelsregisternummer) sind nicht personenbezogen im Sinne der DSGVO – anders als die Daten der Gesellschafter oder Mitarbeitenden in der Firma.

Die DSGVO erweitert den Blick: Personenbezogene Daten können Einblicke in die physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität einer Person ermöglichen. Für HR reicht meist die einfachere Frage: Kann ich (oder ein System) aus dem Datensatz eine natürliche Person ableiten? Wenn ja, behandelst du es als personenbezogen – unabhängig davon, ob der Wert „sensibel“ wirkt oder nur eine Uhrzeit ist.

Pflichten, AV-Vertrag und TOMs findest du im Lexikon DSGVO und im Überblick Compliance. Dieser Beitrag bleibt bei Definition und Einordnung – damit Richtlinien, Systemauswahl und Schulungen auf derselben Begrifflichkeit basieren.

Personenbezogene, pseudonyme und anonyme Daten

Nicht jeder Datensatz im Betrieb ist gleich „personenbezogen“ im engeren Sinn. Drei Begriffe helfen bei der Einordnung:

Pseudonymisierung (Art. 4 Nr. 5 DSGVO) reduziert Risiken, ersetzt aber nicht die DSGVO: Sobald du die Zuordnung wiederherstellen kannst, bleibt es personenbezogen – nur mit zusätzlichen Schutzmaßnahmen. Anonymisierung ist strenger: Wenn Rückführung auf Personen praktisch ausgeschlossen ist, greifen Datenschutzpflichten für diese Daten nicht mehr – in der Praxis ist das bei HR-Rohdaten selten, bei Statistik-Auswertungen häufiger.

In Umfragen oder Pilotprojekten lohnt sich deshalb die Frage: Brauchen wir wirklich Vollprofile – oder reicht eine pseudonyme oder aggregierte Auswertung? Das ist oft der erste Hebel vor neuen Tools oder KI-Funktionen (z. B. Bewerbungs-Screening oder Chatbots mit Mitarbeiterdaten): Solange ein System Personen wiedererkennen oder Profile zusammenführen kann, bleibt der Datensatz personenbezogen – auch wenn die Oberfläche nur eine Kennung zeigt.

Für IT und HR gemeinsam gilt: Pseudonymisierung ist kein Freifahrtschein für beliebige Weitergabe. Zugriff auf den Schlüssel (Mapping-Tabelle, Admin-Export) muss dokumentiert und begrenzt sein – sonst bleibt das Risiko identisch mit Klarnamen-Listen. Anonyme Auswertungen eignen sich gut für Kennzahlen (Fluktuation, Krankenquote, Planungsqualität), solange keine Einzelperson mehr rekonstruierbar ist.

Beispiele personenbezogener Daten im HR

Die Liste der Beispiele ist offen – die DSGVO nennt keine abschließende Aufzählung. Für den Personalalltag helfen typische Kategorien und eine kurze Merkliste:

1. Name und Kontakt (Vor- und Nachname, E-Mail, Telefon)
2. Vertrags- und Entgeltdaten (Steuer-ID, SV-Nummer, Lohnbestandteile)
3. Arbeitszeiten und Schichtpläne (Stempelzeiten, Pausen, Zuordnung zu Teams)
4. Bewerbungsunterlagen (Lebenslauf, Zeugnisse, Gesprächsnotizen)
5. Leistungs- und Qualifikationsnachweise (Beurteilungen, Zertifikate, Schulungen)

Die Tabelle ordnet dieselben Daten nach System und Prozess – praktisch für VVT, Tool-Auswahl und Schulungen:

Sind Name und Vorname personenbezogene Daten? Ja – bereits der Name allein kann eine Person identifizieren, besonders in kleinen Teams oder zusammen mit weiteren Merkmalen (Abteilung, Schicht, Standort). Deshalb gehören Stammdaten in Zugriffskonzepte und nicht in ungeschützte Tabellen oder Gruppenchats.

Adressdaten, E-Mail und Telefon

Sind Adressdaten personenbezogene Daten? Ja. Straße, PLZ, Ort und Postfach lassen sich einer natürlichen Person zuordnen – ebenso private oder dienstliche E-Mail-Adressen und Handynummern. In der Personalstammdaten-Pflege gilt: Jede Änderung (Umzug, Namensänderung) ist ein personenbezogener Vorgang und sollte nachvollziehbar in HR-System oder Akte landen, nicht nur in einer privaten Notiz der Führungskraft.

Auch Kommunikation wird oft unterschätzt: WhatsApp-Gruppen für Schichttausch, E-Mails mit Krankmeldungen oder Tickets im Helpdesk können personenbezogene Inhalte enthalten. Wenn du nur „offizielle“ HR-Systeme dokumentierst, aber parallele Kanäle nutzt, entstehen Datenhaltungen ohne klare Zweckbindung – ein häufiger Schwachpunkt in Audits.

Bei Bewerbungen gelten zusätzliche Fristen und Transparenzpflichten: Unterlagen sind personenbezogen, auch wenn die Person noch nicht beschäftigt ist. Nach Absage oder Einstellung brauchst du klare Regeln, was archiviert, gelöscht oder in die Personalakte überführt wird – sonst wächst unbemerkt ein zweites Datenarchiv neben dem HR-System. Prozess und Fristen im Überblick: Bewerbungsprozess.

Fotos, Ausweise und biometrische Merkmale

Wann gelten Fotos als personenbezogene Daten? Sobald ein Bild eine Person erkennbar macht oder identifizierbar sein kann – z. B. Passfoto für den Ausweis, Profilbild im Intranet oder Schnappschuss für die Pinnwand. Biometrische Daten (Fingerabdruck, Gesichtserkennung an der Zeiterfassung) fallen zusätzlich unter Art. 9 DSGVO und brauchen eine besonders sorgfältige Rechtsgrundlage. Wenn du nur „Stempeln per Foto“ einführen willst, kläre vorab: Ist das wirklich nötig – oder reicht eine PIN oder App-Stempelung?

Personenbezogene Daten im Unternehmen landen nicht nur in der Cloud-Software: Excel-Listen auf Netzlaufwerken, Fotos für Ausweise, Visitenkarten-Scans oder Notizen von Mitarbeitergesprächen zählen dazu. Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) hilft, diese „Schattenquellen“ sichtbar zu machen – die Pflichten dazu ordnest du im DSGVO-Artikel ein, nicht in diesem Lemma.

Besondere Kategorien (Art. 9 DSGVO)

Einige Daten gelten als besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) – etwa Gesundheitsdaten, ethnische Herkunft, religiöse Überzeugungen, Gewerkschaftszugehörigkeit oder biometrische Daten zur eindeutigen Identifizierung. Im HR tauchen sie z. B. bei Krankmeldungen, Schwerbehindertenvertretung, betrieblicher Gesundheitsförderung oder biometrischer Zutrittskontrolle auf.

Für diese Daten gelten engere Voraussetzungen als für „normale“ Stammdaten. Eine pauschale Einwilligung im Arbeitsvertrag reicht oft nicht; viele Betriebe stützen sich auf andere Rechtsgrundlagen und zusätzliche Schutzmaßnahmen – im Einzelfall mit Fachrecht klären. Vertiefung zu Rechtsgrundlagen, Betroffenenrechten und TOMs: DSGVO im Betrieb.

Für Führungskräfte gilt: Nicht alles, was „sensibel wirkt“, ist automatisch Art.-9-Daten – sobald du aber Gesundheits- oder Religionsschlüsse aus Zeiten oder Abwesenheiten ziehst, lohnt es sich, Zugriffe zu begrenzen und Details nicht in den Schichtchat zu teilen.

Typische HR-Situationen mit besonderen Kategorien: detaillierte Krankmeldungen mit Diagnose (statt neutraler Abwesenheit), Schwerbehindertenstatus in der Akte, biometrische Fingerabdrücke an der Zeiterfassung oder religiöse Feiertage, die du manuell im Plan markierst. Wo möglich, trennst du „Abwesenheit ja/nein“ von medizinischen Details – und beschränkst die Sichtbarkeit auf HR oder Betriebsarzt, nicht auf die gesamte Schichtleitung.

Art. 9 – Merkliste HR: Gesundheitsdaten · biometrische Identifikation · ethnische Herkunft · politische/religiöse Überzeugung · Gewerkschaft · genetische Daten · besonders sensible Angaben in Gesprächsnotizen. Vor jedem neuen Feld: Speichern wir mehr als für den Zweck nötig?

Videoüberwachung am Eingang oder an der Kasse liegt zwischen Sicherheit und Datenschutz: Bilder lebender Personen sind personenbezogen; mit Gesichtserkennung oder längerer Speicherung können Art.-9-Aspekte näher rücken. Ob du das einsetzen darfst, regelt das Pflichtenrecht im DSGVO-Artikel – hier geht es nur um die Einordnung: keine „neutralen“ Betriebsdaten, sondern Daten über identifizierbare Menschen.

Abgrenzung: Keine personenbezogenen Daten

Keine personenbezogenen Daten sind Datensätze, bei denen du keine natürliche Person mehr identifizieren kannst – oder die ausdrücklich keinen Personenbezug haben (z. B. reine Firmendaten ohne Bezug zu einer lebenden Person). Im HR-Alltag ist das seltener, als es klingt. Sind Firmendaten personenbezogen? Der Name einer GmbH oder AG allein ist es nicht; sobald du aber Daten von Geschäftsführern, Inhabern oder Mitarbeitenden verarbeitest, liegt wieder Personenbezug vor.

Typische Fälle ohne Personenbezug im DSGVO-Sinne:

Vorsicht bei „fast anonym“: Kleine Teams oder seltene Kombinationen (z. B. eine einzige Person in Nachtschicht an einem Standort) können Indirektheit wieder identifizierbar machen. Dann bleibt der Datensatz personenbezogen – auch ohne Namen in derselben Zeile.

Beispiel aus der Praxis: In einem Standort mit zwölf Beschäftigten reicht oft schon „Team Nacht + Geburtstag im Kalender + eine offene Krankmeldung“, um eine Person zu erkennen – auch wenn der Export nur Initialen und Schichtcodes enthält. Dashboards für Führungskräfte sollten deshalb standardmäßig aggregieren oder Schwellenwerte nutzen, statt Rohlisten mit seltenen Merkmalen zu teilen.

Pseudonyme Kennungen allein ändern nichts am Personenbezug – siehe Abschnitt zu pseudonymen Daten oben. Solange du intern die Zuordnung zur Person hast (Personalnummer, User-ID), bleibt es personenbezogen, auch wenn die Oberfläche nur eine Kennung zeigt.

Verarbeitung im Betrieb – kurz eingeordnet

Verarbeitung ist in der DSGVO weit gefasst: erheben, speichern, übermitteln, auswerten, löschen – praktisch jeder Umgang mit Daten. Sobald personenbezogene Daten im Spiel sind, brauchst du eine Rechtsgrundlage (Art. 6 DSGVO) und die Grundsätze aus Art. 5 (u. a. Zweckbindung, Datenminimierung, Speicherbegrenzung).

Für Arbeitgeber heißt das im Alltag:

Die ausführliche Einordnung (Einwilligung im Arbeitsverhältnis, AV-Vertrag, Meldepflichten, GoBD-Abgrenzung) steht im DSGVO-Lexikon. Wenn du wissen willst, ob du verarbeiten darfst, starte dort – wenn du klären willst, was personenbezogen ist, bleibt dieser Artikel deine Referenz.

Ein kurzer Check vor neuen Features (App, KI-Assistent, Zeiterfassungs-Hardware): Welche Felder sind personenbezogen? Wer darf sie sehen? Wie lange bleiben sie gespeichert? Wer ist Auftragsverarbeiter? Vier Fragen, die du in Workshops mit Fachbereichen und IT gleichermaßen stellen kannst – ohne jedes Mal das Gesetz von vorne zu erklären.

Cloud und SaaS ändern nichts am Begriff: Speichert dein HR-Tool Namen oder Zeiten beim Anbieter, verarbeitest du weiterhin personenbezogene Daten – inklusive typischer AVV-Pflichten. Weitergabe, Löschung und Betroffenenrechte: DSGVO im Betrieb.

Zeiterfassung, Dienstplan und Personalakte

Sind Stempelzeiten personenbezogene Daten? Ja. Start, Ende, Pausen und Korrekturen sind einem Menschen zuordenbar – und können in Randfällen Rückschlüsse auf Religion oder Gesundheit zulassen (z. B. Feiertage, längere Ausfälle). Deshalb gehören Zeiterfassung und Dienstplanung in dieselbe Datenschutz-Governance wie Stammdaten. Bei der Auswahl von Hardware oder Apps lohnt der Abgleich mit euren Anforderungen an Zugriff, Korrektur und Export – siehe auch Zeiterfassungssysteme.

In der Personalakte bündelst du Nachweise von der Einstellung bis zum Austritt. Was in die Akte gehört, wer Zugriff hat und wie lange Daten bleiben, ist gleichzeitig Datenschutz- und Organisationsfrage. Eine strukturierte digitale Personalakte mit Rollenmodell hilft, Auskunftsersuchen vollständig zu beantworten, ohne Daten an unbeteiligte Personen zu leaken.

Für Schichtbetriebe mit hoher Fluktuation und vielen Aushilfen entstehen schnell Sonderfälle: kurzfristige Einsätze, Tausch per Messenger, manuelle Korrekturen. Jede Variante erzeugt personenbezogene Spuren – deshalb lohnt es sich, Erfassung und Kommunikation in einem nachvollziehbaren System zu bündeln statt in parallelen Kanälen ohne Dokumentation.

Beim Onboarding fließen viele personenbezogene Daten erstmals zusammen: Vertrag, Bankverbindung, Steuerdaten, ggf. Aufenthaltstitel oder Qualifikationsnachweise. Wer Einstellung und laufende Pflege sauber trennt (Bewerberakte → Personalakte), vermeidet Doppelhaltungen und erleichtert spätere Auskunfts- oder Löschersuchen – ohne den Begriff „personenbezogen“ jedes Mal neu zu diskutieren.

In der Akte liegen oft mehr als Verträge: Abmahnungen, Qualifikationsnachweise, Führerscheinkopien oder Elternzeit-Dokumente. In der digitalen Personalakte legst du fest, welche Dokumenttypen Standard sind und welche nur berechtigte Rollen sehen – das erleichtert Auskunftsersuchen (Art. 15 DSGVO); die Bearbeitung beschreibt der DSGVO-Eintrag.

Entscheidend bei Zeiterfassung ist nicht das Tool, sondern dass Zeiten einer Person zugeordnet sind und einen Zweck haben (Lohn, Arbeitszeitkontrolle, Planung). GPS, Fotos beim Stempeln oder Gesichtserkennung erhöhen die Sensibilität – die Grundfrage „personenbezogen?“ bleibt dennoch Ja. Zeiterfassung, Schichtplan, digitale Personalakte und Dokumentenmanagement können dieselben Datenströme bündeln, die im Schichtbetrieb zusammengehören – im Rahmen eurer datenschutzrechtlichen Ausgangslage.

Fazit

Personenbezogene Daten sind mehr als „Name und Adresse“: Zeiten, Pläne, Bewerbungen und Notizen können jeden Tag im HR anfallen. Wer den Begriff sauber definiert, Beispiele kennt und besondere Kategorien erkennt, legt die Basis für verständliche Hinweise, sinnvolle Systeme und vertrauensvolle Zusammenarbeit im Team.

Als Nächstes lohnt der Abgleich mit dem DSGVO-Überblick: Rechtsgrundlagen, Verträge mit Dienstleistern und Betroffenenrechte. Für Schulungen im Team eignen sich die Tabellen hier als gemeinsame Referenz – was personenbezogen ist, was nicht, und wann Art. 9 zusätzliche Vorsicht verlangt.