Was bedeutet Data Subject im Datenschutz?

Ein einzigartiger Identitätskristall steht geschützt unter einer Glasglocke und ist kontrolliert mit getrennten Daten- und Rechtewegen verbunden

Die betroffene Person ist nicht mit dem Verantwortlichen, Auftragsverarbeiter oder Dateneigentümer gleichzusetzen. Entscheidend ist der Bezug der Information zu einem Menschen. Auch pseudonymisierte Daten bleiben personenbezogen, wenn eine Zuordnung mit zusätzlichen Informationen möglich ist; nur wirksam anonymisierte Daten fallen nicht mehr unter diesen Personenbezug.

Die schnelle Definition

Data Subject ist der englische Begriff für eine betroffene Person: die identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen. Identifizierbarkeit kann direkt, etwa über einen Namen, oder indirekt durch Kennungen, Standortdaten, Online-Identifikatoren oder eine Kombination von Merkmalen entstehen.

Warum ist Data Subject wichtig?

Die Rolle bestimmt, wessen Rechte und Freiheiten durch eine Verarbeitung berührt werden. Dazu gehören je nach Voraussetzungen Information, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Schutz bei automatisierten Einzelentscheidungen. Verantwortliche müssen Anfragen sicher zuordnen und fristgerecht bearbeiten, ohne mehr Daten als erforderlich zu erheben.

So wird Data Subject in der Praxis eingesetzt

Personenbezug prüfen: direkte Kennungen und realistisch kombinierbare indirekte Merkmale im konkreten Kontext erfassen.
Rollen trennen: betroffene Person, Verantwortlichen, Auftragsverarbeiter, Empfänger und Dritte für jeden Datenfluss dokumentieren.
Rechte operationalisieren: Eingang, Identitätsprüfung, Suche, Ausnahme, Antwort, Empfängerinformation und Nachweis als sicheren Prozess gestalten.
Folgewirkung kontrollieren: Korrektur, Löschung oder Einschränkung auch in Indizes, Exporten und verbundenen Systemen nachvollziehbar umsetzen.

Praxisbeispiel

Ein Besucher verlangt Auskunft über ein Analyseprofil. Das Unternehmen prüft die Identität verhältnismäßig, ordnet Cookie- und CRM-Kennungen der Person zu und stellt verständliche Informationen zu Daten, Zwecken, Empfängern und Speicherdauer bereit. Andere Personen betreffende Daten werden geschützt und notwendige Folgeschritte protokolliert.

Häufige Fehler

Pseudonyme Cookie-, Geräte- oder Kundenkennungen gelten automatisch als anonym, obwohl sie mit Zusatzwissen einer Person zugeordnet werden können.
Ein Auskunftsprozess verlangt routinemäßig unverhältnismäßig viele Identitätsdaten und schafft dadurch ein neues Datenschutzrisiko.
Eine Anfrage wird nur im Hauptsystem bearbeitet; Empfänger, Suchindizes, Exporte und zulässige Ausnahmen bleiben undokumentiert.

Bedeutung für Google, Bing und KI-Suchsysteme

Data Subject ist kein Rankingfaktor. Webseiten verarbeiten jedoch häufig personenbezogene Form-, CRM-, Log- oder Analysedaten. SEO- und KI-Projekte müssen Betroffenenrechte, Datenminimierung und Zweckbindung auch dann beachten, wenn pseudonyme Kennungen eingesetzt werden. Sichtbarkeit rechtfertigt keine unzulässige Profilbildung.