Das Datenschutzgesetz (DSG) und die Datenschutzverordnung (DSV) sind nur anwenbar, wenn und soweit es um die Bearbeitung von Personendaten geht. Entscheidend ist also der Begriff der Personendaten, alternativ wird auch von personenbezogenen Daten gesprochen.

Nach Art. 3 Abs. 1 Buchstabe a) DSG sind Personendaten alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind.

Das Gesetz unterscheidet zwischen Personendaten, besonders schützenswerten Personendaten und Persönlichkeitsprofilen. Aufgrund ihrer spezifischen Risiken stellt der Gesetzgeber an den Schutz von besonders schützenswerten Personendaten und Persönlichkeitsprofilen erhöhte Anforderungen.

Die Artikel 29-Datenschutzgruppe hat eine umfangreiche Stellungnahme zum Begriff der Personendaten veröffentlicht.