Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Typische personenbezogene Daten sind Vor- und Nachname, Geburtsdatum, Adresse oder Telefonnummer einer Person. Aber auch Daten wie Kaufhistorie, IP-Adresse oder Schreiben, wie etwa Briefe oder E-Mails, können personenbezogene Daten sein, wenn sie sich auf eine bestimmbare Person beziehen. Der Begriff der personenbezogenen Daten umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende Person handelt.
Schreiben, die von der betroffenen Person verfasst wurden, sind ihrem gesamten Inhalt nach als personenbezogene Daten zu behandeln. Die personenbezogene Information besteht bereits darin, dass sich die betroffene Person gemäß dem Inhalt des Schreibens geäußert hat.
Anders gestaltet sich dies jedoch, wenn das jeweilige Schreiben vom Verantwortlichen bzw. seinen Mitarbeitern verfasst wurde. Schreiben des Verantwortlichen können nur soweit personenbezogene Daten des Betroffenen sein, wie diese Informationen über die betroffene Person enthalten.
Diese Unterscheidung ist besonders relevant, wenn die betroffene Person neben der Auskunft über ihre personenbezogenen Daten, auch eine Kopie dieser Daten gemäß Art. 15 Abs. 3 DSGVO verlangt. Der Begriff der Kopie ist wörtlich zu verstehen und bedeutet eine originalgetreue und verständliche Wiedergabe aller personenbezogenen Daten, die Gegenstand der Verarbeitung sind.
Die Kosten für die erste Kopie trägt der Arbeitgeber
Fordert die betroffene Person eine Kopie ihrer Daten gemäß Art. 15 Abs. 3 DSGVO, ist grundsätzlich eine Kopie zu erteilen. Die erste Kopie ist kostenlos zur Verfügung zu stellen.
Telefonnotizen, Aktenvermerke, Gesprächsprotokolle, E-Mails, Briefe und sonstige Schreiben des Verantwortlichen müssen nicht per se als Kopie bereitgestellt werden. Eine Ausnahme gilt lediglich dann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten und der betroffenen Person die wirksame Ausübung ihrer Rechte zu ermöglichen. Dies gilt beispielsweise für Patientenakten. Der Kontext der personenbezogenen Daten zu den Diagnosen, Untersuchungsergebnissen, Befunden, etc. ist für die Verständlichkeit ebenjener entscheidend.
Die Erforderlichkeit der Bereitstellung weiterer Dokumente zur Kontextualisierung ist durch die betroffene Person darzulegen.
"Wenn die linke Hand nicht weiß, was die rechte Hand tut"
Binden Sie verschiedene Abteilungen innerhalb Ihrer Organisation in die Ermittlung der personenbezogenen Daten ein. Es kann vorkommen, dass sich personenbezogene Daten auf verschiedenen Systemen befinden, die unabhängig und/oder voneinander getrennt arbeiten. Durch die Einbindung verschiedener Abteilungen stellen Sie sicher, dass Sie vollständig und lückenlos Auskunft erteilen können.