Personenbezogene Daten nach Art. 4 Nr. 1 DSGVO

Personenbezogene Daten sind Informationen dann, wenn sich mit diesen eine natürliche Person (sonst ist die DSGVO schon nicht anwendbar, Art. 1 I DSGVO) abtrakt identifizieren lässt. Denn Art. 4 Nr. 1 lässt es ausreichen, wenn die Person lediglich "identifizierbar" ist. Das war schon unter der Geltung der EU-Datenschutzrichtlinie (siehe Art. 2 a) der RL 95/46/EG) so, die mit Inkrafttreten der DS-GVO außer Kraft gesetzt wurde. Als personenbezogenes Datum hat die Rechtsprechung eine statische IP-Adresse angesehen (EuGH v. 24.11.2011 - C-70/10 - Scarlet Extended).

Auch dynamische IP-Adressen und Cookies können personenbezogene Daten sein

Als personenbezogene Daten hat die Rechtsprechung bisher beispielsweise auch eine dynamische IP-Adresse angesehen. Voraussetzung: Derjenige, der sie speichert verfügt über rechtliche Mittel, über den Internet Service Provider, der alleine anhand der dynamischen IP-Adresse den betreffenden Nutzer identifizieren kann, an die personenbezognen Daten zu gelangen, beispielsweise um den Urheber einer Cyberattacke strafrechtlich verfolgen zu können (EuGH v. 19.10.2016 - C-582/14 - Beyer, Rz. 48).

Ebenso als personenbezogene Daten hat die Rechtsprechung ein Cookie angesehen, das eine ID enthält, die mit den Daten verknüpft werden, die der Nutzer zuvor in ein Online-Registierungsformular eingegeben hat (BHG v. 5.10.2017 - I ZR 7/16 - Cookie-Einwilligung).