Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Z 1 DSGVO). Der Begriff reicht weiter, als viele annehmen: Neben Name und Adresse zählen auch E-Mail-Adresse, Kundennummer, Standortdaten, Fotos und in vielen Fällen die IP-Adresse dazu — entscheidend ist, ob sich die Information einer Person zuordnen lässt, notfalls über Zusatzwissen.
Eine eigene Stufe bilden die besonderen Kategorien nach Art. 9 DSGVO: Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, biometrische und genetische Daten. Ihre Verarbeitung ist grundsätzlich untersagt und nur in eng umrissenen Ausnahmen erlaubt.
Von der Pseudonymisierung, bei der die Zuordnung nur über einen getrennt verwahrten Schlüssel möglich ist, unterscheidet sich die Anonymisierung: Erst wenn der Personenbezug unumkehrbar entfernt ist, greift die DSGVO nicht mehr. Ob wirklich anonymisiert wurde, ist im Zweifel streng zu prüfen — aggregierte Statistiken können bei kleinen Gruppen wieder auf Einzelne zurückführen.