Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Eine natürliche Person wird als identifizierbar angesehen, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.

Das bedeutet, dass Daten, die dazu verwendet werden können, eine Person zu identifizieren, als personenbezogene Daten gelten. Dies kann ein Name, eine Adresse, eine Telefonnummer, eine E-Mail-Adresse, eine Sozialversicherungsnummer, eine IP-Adresse oder sogar ein Cookie auf einem Computer sein, sofern diese Informationen auf eine bestimmte Person verweisen können.

Es ist wichtig zu beachten, dass auch Daten, die zunächst nicht direkt einer Person zugeordnet werden können, personenbezogen werden können, wenn sie mit anderen Daten kombiniert werden. Beispielsweise könnte eine Kombination aus Postleitzahl, Geburtsdatum und Geschlecht ausreichen, um eine Person zu identifizieren.

Besondere Kategorien personenbezogener Daten (früher als "sensible Daten" bezeichnet) umfassen Informationen wie Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen und genetische Daten. Diese Daten genießen unter der DSGVO einen besonderen Schutz und dürfen nur unter bestimmten Bedingungen verarbeitet werden.